Undichte APIs drohen, den Ruf von Unternehmen ins Leere zu treiben

Im Leben ist Kommunikation im Allgemeinen eine großartige Sache. Es gibt keinen schnelleren Weg, um zu einer Einigung zu kommen, etwas Neues zu lernen oder eine Beziehung aufzubauen. Im Softwarebereich dienen APIs einem Kommunikationszweck, der es Anwendungen ermöglicht, miteinander zu kommunizieren, wodurch Funktionen und Benutzerfreundlichkeit verbessert werden. Diese Konnektivität führt oft zu einer umfassenderen Erfahrung, die Endbenutzer lieben und die sie in ihrem täglichen Leben zunehmend von der Software erwarten.

Wie im wirklichen Leben ist es jedoch ein großes Problem, wenn sie zu viel reden. Experian hat dies kürzlich auf die harte Tour herausgefunden, als eine ihrer APIs — die von einem Drittanbieter verwendet wird — möglicherweise durchgesickert die Kreditwürdigkeit von... nun ja, fast jedem amerikanischen Staatsbürger.

Das Problem wurde schnell gepatcht, aber es bleibt die Frage offen, ob diese Sicherheitslücke wirklich beseitigt wurde. Wenn ein Anbieter betroffen war, stehen die Chancen gut, dass es auch andere waren, und es besteht die Möglichkeit, dass es sich um einen systemischer Bug, was jeden betrifft, der diese unsichere API nutzt.

API-Sicherheit ist ein Thema, das den meisten Sicherheitsexperten nicht fern ist, und wir müssen uns mit dem Wissen ausstatten, um dagegen vorzugehen.

Jeder verwegene Geek kann eine schlechte API-Authentifizierung umgehen

Ein Merkmal vieler Datenlecks, Sicherheitslücken und Sicherheitsvorfälle ist, dass es selten eines Masterminds bedarf, um sie zu erreichen. Für komplexe, heimtückische und schädigende Angriffe, wie wir sie bei SolarWinds gesehen haben, müssen Teams von Cyberkriminellen ausgeführt werden, und sie sind eher die Ausnahme als die Regel.

Wenn eine API mit schwacher Authentifizierung erstellt wird, ist es ziemlich einfach, sie auszunutzen. Bill Demirkapi, der Sicherheitsforscher, der den API-Bug von Experian entdeckte, stellte fest, dass ohne Authentifizierung darauf zugegriffen werden kann. Durch Eingabe von 00/00/0000 in das Feld für das Geburtsdatum erhielt er Zugriff auf die Kreditwürdigkeit einer Person, wobei nur öffentlich zugängliche Informationen wie ein Name und die zugehörige Postanschrift verwendet wurden. Obwohl dies nicht gemeldet wurde, besteht sicherlich die Möglichkeit, dass diese Aufzeichnungen gelöscht und als kreditbezogener (und daher wertvoller) Datendump kontextualisiert werden.

Saubere und funktionale Authentifizierungsprozesse sollten vorhanden sein, egal wie klein der Anwendungsfall ist. Eine Chatterbox-API, die nicht ordnungsgemäß gesichert ist und möglicherweise den Zugriff auf mehrere Systeme eröffnet, ist eine Gefahr.

Broken Authentication ist Nummer zwei auf der Die 10 besten APIs von OWASP Liste der Sicherheitslücken. Lesen Sie hier mehr darüber, wie du diesen Bug vermeiden und deine Fähigkeiten auf unserer Plattform testen kannst, sobald du mit dem Füttern deines Gehirns fertig bist.

Schlechte API-Sicherheitskontrollen sind ein weit verbreitetes Problem, das einen kulturellen Wandel erfordert

Es ist nicht fair, mit dem Finger ausschließlich auf Organisationen wie Experian zu zeigen, aber der Mangel an Nuancen und Sorgfalt bei der Sicherheitskontrolle, der in dieser speziellen API-Exposition zum Ausdruck kommt, ist kein gutes Zeichen für die vielen Unternehmen da draußen, die APIs als Teil ihrer IT-Systeme und Endpunkte verwenden.

Im Allgemeinen haben wir noch viel mehr zu tun, um API-Schwachstellen nicht nur zu finden und zu beheben, sondern sie auch als Teil der Angriffsfläche zu verstehen, die wir schützen sollen. Der Überblick über APIs — und wie sie erstellt wurden — ist ein großes Problem und sollte als Teil der bewährten Sicherheitsmethoden verlangt werden. Selbst ein Unternehmen mit den strengsten Sicherheitsmaßnahmen kann durch eine API, die veröffentlicht wird und außerhalb der Sicherheitskontrollen des Unternehmens funktioniert, zunichte gemacht werden. Es ist wichtiger denn je, sich zu fragen, woher eine API stammt und wer sie letztlich verwaltet (handelt es sich um einen Drittanbieter? Wie streng sind sie in Bezug auf die Sicherheit?) , und auf welche Informationen es zugreift.

Injection-Schwachstellen sind nach wie vor ein Hindernis für jeden CISO.

API-Sicherheit mag wie ein relativ neues Modul erscheinen, das in ein Sicherheitsprogramm aufgenommen werden kann, aber es kann durch einige (sehr) alte Tricks ausgenutzt werden, die wir von einfacher alter Websoftware gewohnt sind.

EIN kürzlich veröffentlichter Angriff auf Accellion enthüllte, dass Angriffe mit verketteter SQL-Injektion und Ausführung von Betriebssystembefehlen es den Bedrohungsakteuren ermöglichten, APIs zu manipulieren und eine beträchtliche Menge sensibler Daten, einschließlich Sozialversicherungsnummern, zu extrahieren. Sie stellten fest, dass die Angreifer über umfassende Kenntnisse der FTA-Software von Accellion verfügen mussten, um den Überfall durchzuführen, was durch umfangreiches Reverse Engineering möglich gewesen wäre.

Da sich der Verstoß im Dezember 2020 und Januar 2021 ereignete, hatten die Diebe genügend Zeit, um Schaden anzurichten. Weitere Entdeckungen im Februar 2021 deckten eine gespeicherte XSS-Sicherheitslücke auf. Forensische Analysen ergaben, dass nur ein API-Endpunkt, der Benutzereingaben unsachgemäß bereinigt hatte, es ermöglichte, ein Argument einzufügen, wenn der admin.pl Drehbuch.

Bei über 3000 Kunden, darunter viele renommierte Bildungseinrichtungen, könnte dieser Verstoß weitreichend sein. Leider wurden diese Exploits durch die Ausnutzung gängiger Sicherheitslücken ermöglicht, von denen viele von einem sicherheitsbewussten Entwickler vor der Produktion auf Codeebene hätten behoben werden können. Wie wir immer wieder sehen, reicht ein kleines Fenster, das offen gelassen wird, um große Probleme zu verursachen. Und eine Kultur der von Menschen geleiteten Cyberabwehr muss Teil der Strategie zur Lösung eines sehr menschlichen Problems sein.

Möchten Sie Ihre API-Sicherheitsfähigkeiten jetzt testen in Java-Spring-API, Kotlin Spring API, C# (.NET) -Web-API und mehr? Probiere einige API-Herausforderungen auf unserer Lernplattform aus (sieh dir alle Sprachen:Frameworks über das Drop-down-Menü an):
‍

‍