Yepamusoro OATH API Vulnerabilities
Yepamusoro OATH API Vulnerabilities: Intro
Kana zvasvika pakushandisa, APIs ndiyo nzvimbo huru yekutanga. API kuwana kazhinji kunosanganisira zvikamu zvitatu. Vatengi vanopihwa ma tokeni neAuthorization Server, inomhanya padivi pe APIs. Iyo API inogamuchira ma tokeni kubva kumutengi uye inoshandisa domain-yakatarwa mvumo yemitemo yakavakirwa pairi.
Mazuva ano mapurogiramu esoftware ari panjodzi yenjodzi dzakasiyana siyana. Ramba uchimhanyisa pane zvichangobva kuitika uye zvikanganiso zvekuchengetedza; kuva nemabenchmark ekusagadzikana uku kwakakosha kuvimbisa kuchengetedza application kusati kwaitika. Wechitatu-bato zvikumbiro zviri kuramba zvichivimba neOAuth protocol. Vashandisi vanozove neruzivo rwakakwana rwemushandisi, pamwe nekukurumidza kupinda uye mvumo, nekuda kweiyi tekinoroji. Inogona kunge yakachengeteka kupfuura mvumo yenguva dzose sezvo vashandisi vasingafanirwe kuburitsa zvitupa zvavo neyechitatu-bato application kuti vawane yakapihwa sosi. Kunyange iyo protocol pachayo yakachengeteka uye yakachengeteka, mashandisirwo ayo anoitwa anogona kukusiya wakavhurika kurwisa.
Paunenge uchigadzira uye uchitambira maAPI, chinyorwa ichi chinotarisa pane zvakajairwa OAuth kusasimba, pamwe nekusiyana kwakasiyana kuchengetedzwa.
Mvumo yeChinhu Chakaputswa
Kune nzvimbo yakakura yekurwisa kana mvumo ikatyorwa sezvo APIs inopa mukana wezvinhu. Sezvo API-inosvikika zvinhu zvinofanirwa kutenderwa, izvi zvinodiwa. Ita cheki yemvumo yechinhu-chikamu uchishandisa API gedhi. Avo chete vane mvumo yemvumo yakakodzera ndivo vanofanira kubvumidzwa kupinda.
Yakaputsika Mushandisi Wechokwadi
Matokeni asina kutenderwa ndiyo imwe nzira yakajairika yekuti vanorwisa kuti vawane maAPI. MaSisitimu echokwadi anogona kubiwa, kana kiyi yeAPI inogona kuburitswa zvisirizvo. Zviratidzo zvekusimbisa zvinogona kuva inoshandiswa nema hackers kuwana mukana. Simbisa vanhu chete kana vachivimbwa, uye shandisa mapassword akasimba. NeOAuth, unogona kupfuura kungopfuura makiyi eAPI uye kuwana mukana kune data rako. Unofanira kugara uchifunga nezvekuti uchapinda nekubuda sei panzvimbo. OAuth MTLS Sender Constrained Tokens inogona kushandiswa pamwe chete neMutual TLS kuvimbisa kuti vatengi havaite zvisizvo uye kupfuudza tokeni kune isiriyo bato vachiwana mimwe michina.
API Promotion:
Kuwedzeredza Data Exposure
Iko hakuna zvipingamupinyi pahuwandu hwemagumo anogona kuburitswa. Kazhinji yenguva, haasi ese maficha anowanikwa kune vese vashandisi. Nekufumura data rakawanda kupfuura zvarinoda, unozviisa iwe nevamwe panjodzi. Dzivisa kuburitsa pachena ruzivo kusvikira zvave zvakakodzera. Vagadziri vanogona kutsanangura kuti ndiani ane mukana kune izvo nekushandisa OAuth Scopes uye Claims. Zvichemo zvinogona kutsanangura kuti ndezvipi zvikamu zve data iyo mushandisi anogona kuwana. Kupinda kwekutonga kunogona kuitwa kuve nyore uye kuve nyore kubata nekushandisa yakajairwa chimiro pamaAPI ese.
Kushaikwa Kwezvishandiso & Rate Limiting
Heti nhema dzinowanzo shandisa kuramba-kwe-sevhisi (DoS) kurwisa senzira ine hutsinye yekuremedza sevha nekudaro kuderedza nguva yayo kusvika zero. Pasina zvirambidzo pane zviwanikwa zvinogona kudanwa, API iri panjodzi yekurwiswa kunopedza simba. 'Uchishandisa API gedhi kana manejimendi chishandiso, unogona kuseta zvirambidzo zvemaAPI. Kusefa uye kupeta kunofanirwa kuverengerwa, pamwe nemhinduro dziri kuganhurirwa.
Misconfiguration YeSecurity System
Mitemo yakasiyana-siyana yekuchengetedza inokwana zvakakwana, zvichibva kune zvakakosha mukana wekuchengetedzwa kusina kunaka. Zvinhu zvidiki zvinoverengeka zvinogona kukanganisa kuchengetedzeka kwepuratifomu yako. Zvinogoneka kuti heti nhema dzine zvinangwa zvekunze dzinogona kuwana ruzivo rwakadzama rwakatumirwa mukupindura mibvunzo isina kurongeka, semuenzaniso.
Misa Basa
Nekuda kwekuti magumo haana kutsanangurwa pachena hazvireve kuti haagone kuwanikwa nevagadziri. Yakavanzika API inogona kubvumwa zviri nyore uye kudzosera kumashure-engineer nevanoba. Tarisa uone uyu wekutanga muenzaniso, uyo unoshandisa yakavhurika Bearer Token mune "yakavanzika" API. Nekune rimwe divi, zvinyorwa zveveruzhinji zvinogona kunge zviripo zvechimwe chinhu chakangoitirwa munhu wega. Ruzivo rwakafumurwa runogona kushandiswa neheti nhema kwete kungoverenga chete asiwo kushandura maitiro echinhu. Zvione sewe hacker paunenge uchitsvaga zvingangove zvisina simba mukudzivirira kwako. Bvumira avo chete vane kodzero dzakakodzera kuwana kune zvakadzorerwa. Kuti uderedze kusabatika, dzikamisa API mhinduro pasuru. Vakapindura havafanire kuwedzera chero ma link asinganyatso kudiwa.
Purogiramu inonzi Promoted:
Zvisizvo Asset management
Kunze kwekusimudzira kugadzirwa kwemugadziri, zvinyorwa zvazvino uye zvinyorwa zvakakosha kune yako kuchengeteka. Gadzirira kuunzwa kweshanduro itsva uye kudzikisirwa kwekare maAPI pachine nguva. Shandisa maAPI matsva pane kutendera ekare kuti arambe achishandiswa. Iyo API Specification inogona kushandiswa seyokutanga sosi yechokwadi yezvinyorwa.
Injection
APIs ari panjodzi yekubayiwa jekiseni, asi ndozvakaitawo wechitatu-bato kuvandudza maapplication. Kodhi yakaipa inogona kushandiswa kudzima data kana kuba ruzivo rwekuvanzika, senge mapassword nenhamba dzekadhi rechikwereti. Chidzidzo chakanyanya kukosha kutora kubva pane izvi ndechekusatsamira pane default marongero. Wako manejimendi kana mupi wegedhi anofanirwa kukwanisa kuenderana neyako yakasarudzika application zvinodiwa. Tsamba dzemhosho hadzifanire kusanganisira ruzivo rwakadzama. Kudzivirira dhata rekuzivikanwa kubva pakudonha kunze kwehurongwa, Pairwise Pseudonyms inofanirwa kushandiswa mumatokeni. Izvi zvinovimbisa kuti hapana mutengi anogona kushanda pamwechete kuti aone mushandisi.
Insufficient Logging And Monitoring
Kana kurwiswa kukaitika, zvikwata zvinoda zano rakanyatsofungwa rekuita. Vagadziri vacharamba vachishandisa kusazvibata vasina kubatwa kana yakavimbika yekutema matanda uye yekutarisa system isiripo, izvo zvinowedzera kurasikirwa nekukuvadza maonero everuzhinji nezvekambani. Gamuchira yakaomesesa API yekutarisa uye yekugadzira endpoint yekuyedza zano. White hat testers dzinowana kusadzivirirwa kwekutanga dzinofanirwa kupihwa mubairo webounty scheme. Iyo log trail inogona kuvandudzwa nekubatanidza chitupa chemushandisi mune API transaction. Ita shuwa kuti ese akaturikidzana eiyo API architecture anoongororwa nekushandisa Access Token data.
mhedziso
Vagadziri vepuratifomu vanogona kugadzirira masisitimu avo kuchengetedza nhanho imwe pamberi pevanorwisa nekutevera yakagadziriswa maitiro ekusagadzikana. Nekuti ma API anogona kupa kuwanikwa kune Yega Ruzivo Rwekuzivikanwa (PII), kuchengetedza kuchengetedzeka kwemasevhisi akadaro kwakakosha kune zvese kugadzikana kwekambani uye kutevedzera mutemo seGDPR. Usambofa wakatumira maOAuth tokens zvakananga pamusoro peAPI usina kushandisa API Gedhi uye Phantom Token Approach.
Purogiramu inonzi Promoted:
