Dans le scénario mondial actuel, l'actif le plus important de chaque entreprise est la donnée, sa disponibilité et le fait de lui être confiée pour fournir des services personnalisés. Par conséquent, les données devraient être légitimement attribuées à leur place d'importance en termes de protection et de tests de sécurité.
Surtout en ce qui concerne les applications, le les interfaces de programmation d'application (API) fournissent de multiples points d'accès vulnérables aux données sensibles. Notre objectif doit être d'assurer la protection des API à toutes les étapes de la production.
Qu'est-ce qu'une API?
Apis sont généralement utilisés pour transférer des informations entre deux systèmes et fonctionnent au niveau du code ou du réseau. Cela dépend si les deux systèmes fonctionnent sur la même machine. Un détail important à noter est que les API modernes prennent la forme de transfert d'état de représentation (REST). Il fournit un fonction simple de conception d'un appel API spécifique pour appeler toutes les informations nécessaires pour modifier ou accéder à un service Web. Un autre avantage intéressant est qu'il fournit une couche claire de séparation entre le front-end (détails de la présentation) et dorsal (mécanisme d'accès aux données).
Principes de réussite des tests de sécurité des API
Il y a majoritairement 2 Principes de réussite des tests de sécurité des API
- Critères d'entrée
L'API doit rejeter toute entrée de types incorrects (comme nul ou vide) ou tailles incorrectes. Ce dernier a quelques difficultés à définir une plage d'entrées acceptables, car l'API REST doit prédire l'approche du client.
Chaque entrée a une sortie attendue - et rien d'autre ne doit être accepté. Pour une plage d'entrée et de sortie définie, il s'agit d'une tâche facile, contrairement à une situation où l'utilisateur soumet son propre contenu (comme les plates-formes de discussion).
Ces entrées en dehors des domaines attendus ne devraient pas être acceptées.
- Fournir des données sur la base du besoin de savoir
Une fois les autorisations définies, les utilisateurs devraient avoir accès aux données uniquement selon leurs besoins. Même si cela semble simple une fois les permissions et l'accès associé aux ressources implémentés, il y a trop de variables qui peuvent changer.
Voici quelques paramètres pour lesquels chaque API doit être testée pour éviter les violations de données et autres situations compromettantes. Une API correctement conçue et testée devrait être en mesure de mettre en place une couche initiale de défense, ce qui devrait être approuvé par le protocole de test de sécurité.
Différents types de tests de sécurité API
- Processus d'audit de sécurité - Un processus d'audit de sécurité idéal prend en compte les facteurs suivants comme barrières de sécurité de base:
- La conditions et autorisations requises par les utilisateurs pour accéder à des niveaux de données spécifiques
- Niveaux d'authentification requis par l'utilisateur pour utiliser l'API et le mode d'identification
- Règles de chiffrement pour les données stockées et les instances de décryptage
- Tests de pénétration - Cette étape consiste à simuler des attaques pour tester l'API pour les vulnérabilités, le codage défectueux ou d'autres risques de sécurité. Il aide à renforcer la sécurité externe et à résoudre les erreurs de développement dès les phases initiales. Avec un mélange d'outils automatisés (Metasploit, Acunetix, etc.) et manuels, les tests d'API peuvent être effectués dans un environnement contrôlé.
- Procéder à un liste des vulnérabilités connues au sein de l'API
- Définir un classement selon le risque que présente chaque problème (le site Web de l'OWASP permet de bien comprendre les facteurs de risque associés)
- Envoyer des requêtes et concevoir des attaques en gardant ces risques de sécurité à l'esprit, tant à l'intérieur qu'à l'extérieur du réseau
- Gardez les yeux ouverts pour autres issues qui peut apparaître pendant le processus de test
- Notez toutes les vulnérabilités, discutez des mesures de correction, mettez-les en œuvre et testez à nouveau.
- Test de Fuzz - Après avoir conçu une liste de contrôle de sécurité de base et conçu des tentatives de piratage, il est temps de pousser l'API à l'extrême et évaluer les résultats. Cela pourrait être fait à travers un grand volume de demandes envoyées en même temps (attaques DDoS), des changements rapides dans le type de données reçues, etc. Cela présentera un ensemble différent de vulnérabilités lorsque le système est sous pression et est tout aussi important à résoudre .
Étapes de base pour effectuer les tests de sécurité des API
Les tests de sécurité des API impliquent généralement l'envoi de requêtes via un logiciel client (comme Insomnia) au point de terminaison de l'application, qui est ensuite évalué. N'oubliez pas d'utiliser un logiciel automatisé pour une partie des tests, car cela accélère l'objectif (un audit de sécurité ou un test fuzz pourrait être effectué).
- Quelles sont les exigences de sécurité de votre système?
- Besoin d'un Certificat TLS / SSL et accessible via HTTPS
- Nombre de niveaux d'autorisation pour accéder à différentes ressources
- Flux d'authentification et l'exigence d'un fournisseur externe
- Aspects de l'API qui pourraient être attaqués et points de faiblesse
- Configurer l'environnement de test et vérifier si tout va bien
Selon petites ou grandes applications, un environnement de test doit être conçu. Les plus gros fonctionnent mieux dans un environnement séparé avec une maquette des ressources. Vérifiez si l'API fonctionne correctement avec quelques demandes de test.
- Fournir un domaine d'entrée
Avant de vous lancer dans des tests individualisés, vous devrez définir ce que signifie chaque paramètre et ses différentes combinaisons autorisées. Cela garantira que vous définissez correctement les valeurs qui ne sont pas autorisées et celles qui sont vulnérables aux attaques telles que l'injection SQL ou la force brute.
- Développer et exécuter
Il ne reste plus qu'à effectuer les tests et vérifier si la sortie reçue est la même que celle attendue. Enregistrez-vous avec quelques questions telles que;
- S'il existe une option pour le téléchargement de fichiers, que faire si un fichier malveillant est signalé?
- Dans l'espace qui demande des informations à l'utilisateur, que se passe-t-il si une entrée HTML / JS est donnée?
- Accéder aux ressources au-delà de votre niveau d'autorisation (et si elles sont accessibles via HTTP et HTTPS)
Il existe d'autres paramètres dans les tests de sécurité de l'API dont vous devrez peut-être être conscient avec votre application spécifique. Avec Sécurité Astra, il n'y a plus besoin de s'inquiéter de manquer les petites choses!
