Kimsenin izlemediği saldırı yüzeyi
Her modern uygulama API'ler üzerine kuruludur — ön uçları arka uçlara, hizmetleri birbirine ve işletmeleri ortaklarına bağlar. Bu bağlayıcı doku aynı zamanda en tutarlı şekilde istismar edilen saldırı yüzeylerinden biridir, tam olarak çünkü genellikle hızlı inşa edilir ve kullanıcıya dönük koddan daha az dikkatli incelenir.
Gerçek ihlallere yol açan hatalar nadiren egzotiktir. Sayısız kod tabanında tekrarlanan aynı bir avuç sorundur.
Tekrarlayan hatalar
Bozuk nesne düzeyinde yetkilendirme
En yaygın tek API güvenlik açığı: bir uç nokta bir kullanıcının kimlik doğrulaması yapıldığını kontrol eder, ama talep ettikleri belirli kaynağa erişim için yetkili olduklarını kontrol etmez. URL'deki bir kimliği /orders/1001'den /orders/1002'ye değiştirin ve sunucu sahipliği doğrulamıyorsa, başka birinin verisine bakıyorsunuz demektir.
Aşırı veri ifşası
Bir uç nokta, yanıtı ön ucun gerçekte ihtiyaç duyduğu şeyle sınırlamaktan daha hızlı inşa edildiği için — dahili alanlar, parola hash'leri veya diğer kullanıcıların verileri dahil — tüm bir veritabanı nesnesini döndürür. Ön ucun bir alanı arayüzde gizlemesi, API yanıtı hâlâ içeriyorsa hiçbir işe yaramaz.
Oran sınırlaması yok
Bir uç noktanın kabul ettiği istek sayısına sınır olmadan, parolaları kaba kuvvetle kırmak, tüm veri kümelerini kazımak veya sunucuyu bunaltmak önemsiz hale gelir — tamamen "meşru" kimlik doğrulamalı veya genel bir uç nokta aracılığıyla.
İstemci tarafı doğrulamaya güvenmek
Sadece ön uç JavaScript'inde var olan doğrulama mantığı güvenlik değildir — bir UX inceliğidir. Herkes ön ucu tamamen atlayıp doğrudan API'ye istek gönderebilir. Güvenlik için önemli olan her doğrulama kuralı sunucu tarafında uygulanmalıdır.
Ayrıntılı hata mesajları
İstemciye döndürülen ayrıntılı yığın izlemeleri veya veritabanı hata mesajları bir saldırgana hediyedir — teknoloji yığınınızı, tablo yapınızı ve tam arıza noktalarınızı ortaya çıkarır, kör bir araştırmayı yönlendirilmiş bir araştırmaya dönüştürür.
"Genel değil" olarak ele alınan sürümsüz, belgelenmemiş dahili API'ler
Teknik olarak erişilebilir ama "hiçbir yerden bağlantılı değil" bir API gizli değildir — sadece henüz keşfedilmemiştir. Belirsizlik yoluyla güvenlik, biri temel bir uç nokta tarayıcısı çalıştırdığı anda başarısız olur.
Her API'nin sahip olması gereken taban çizgisi
- Her tek uç noktada yetkilendirme kontrolleri, sadece "bu kullanıcı giriş yapmış mı" değil "bu kullanıcı bu spesifik kaynağa sahip mi veya hakları var mı" doğrulaması.
- Açık yanıt şekillendirme — sadece istemcinin gerçekte ihtiyaç duyduğu alanları döndürün, asla ham bir veritabanı nesnesi değil.
- Sadece giriş formlarında değil, her genel ve kimlik doğrulamalı uç noktada oran sınırlaması.
- Her şeyde sunucu tarafı doğrulama, ön ucun zaten kontrol ettiğine bakılmaksızın tüm istemci girdisini güvenilmez olarak ele alma.
- İstemciye genel hata mesajları, gerçek ayrıntı yanıtta ifşa edilmek yerine hata ayıklama için sunucu tarafında kaydedilir.
Sonuç
API güvenlik başarısızlıkları nadiren sofistike saldırılardır — kontrol etmeyi düşünen herkes tarafından istismar edilen, gözden kaçırılan temellerdir. İyi haber şu ki düzeltmeler iyi anlaşılmıştır ve uygulaması pahalı değildir; sadece API tasarımını lansmandan önce sonradan eklenen bir şey olarak değil, en baştan bir güvenlik yüzeyi olarak ele almayı gerektirir.
Bir API inşa ediyor veya denetliyor ve özellikle yetkilendirme mantığına ikinci bir göz atılmasını mı istiyorsunuz? Gerçek riskin genellikle gizlendiği yer orasıdır.