API安全概述
Application Programma Interface (API)由一组定义和协议组合而成,可用于构建和企业集成应用软件。随着数字化转型的深入,API产品的价值日益增高,特别是与微服务、DevOps等技术的融合,使得API成为企业战略发展加速的利器,但随之而来的安全问题也不容忽视。常见的API安全漏洞有以下五种:
- 首先是API应该与应用系统一样在设计之初就考虑安全的因素,比如防篡改(签名)、防重放(时间戳)、防止敏感信息泄露(传输加密与数据最小化)等。
- API规范性带来的一个问题就是API很容易被发现,比如在URL中出现的
v1/login
,参数中出现的"function": "login"
等。 - 安全配置错误常常包括:未使用加密传输协议、CSRF、CORS等。
- 参数过多就会导致信息泄露以及便于攻击者执行频率分析攻击,比如
"role": "user"
容易让攻击者联想到"role": "admin"
等。 - 数据过多:传输过多的数据、返回过多的数据、参数值暴露敏感信息等都是数据过多导致的安全问题。
同时OWASP在2019年也列举了API最受关注的十大安全问题: