了解 Rest API 開發(fā)中的 HTTP 方法
你可能也喜歡這些API文章!
API 的興起導(dǎo)致個(gè)人和企業(yè)使用 API 的人數(shù)增加。這導(dǎo)致黑客攻擊次數(shù)激增。除此之外，高級威脅檢測工具的開發(fā)也使黑客能夠輕松找到和利用 API。因此，API 已成為黑客的主要目標(biāo)。API 的安全性已成為企業(yè)及其客戶的重要關(guān)注點(diǎn)。雖然企業(yè)可以投資于強(qiáng)大的解決方案來保護(hù) API，但他們也必須注意保護(hù)客戶的個(gè)人信息。
顯然，API 是公司與客戶、合作伙伴和員工溝通的重要方式。然而，API 也可能給沒有做好準(zhǔn)備的組織帶來新的安全威脅。在本文中，我們將討論一些確保 API 安全的重要方法。
構(gòu)建 API 時(shí)要考慮的第一件事是誰將有權(quán)使用它。這包括誰將有權(quán)創(chuàng)建 API 密鑰和使用 API，還包括將授予 API 密鑰哪些權(quán)限。
管理 API 用戶訪問權(quán)限的最簡單方法之一是建立 API 密鑰管理系統(tǒng)。使用這樣的系統(tǒng)，您可以存儲和管理 API 的密鑰。如果您有許多其他使用相同 API 的應(yīng)用程序，這會特別有用。
最好的 API 密鑰管理系統(tǒng)將允許您控制密鑰的創(chuàng)建和管理。您還應(yīng)該能夠控制密鑰的權(quán)限并撤銷或授予某些用戶的訪問權(quán)限。除了管理用戶訪問權(quán)限外，API 密鑰管理系統(tǒng)還允許您管理用戶機(jī)密。這包括手動或通過自動化工具管理 API 密鑰和機(jī)密。
正如我們上面所討論的，API 是與外部系統(tǒng)和用戶溝通的關(guān)鍵方式。在實(shí)施 API 時(shí)，組織應(yīng)使用盡可能強(qiáng)大的加密。這樣做有助于保護(hù)數(shù)據(jù)集、用戶密鑰和敏感信息。
SSL是一種標(biāo)準(zhǔn)技術(shù)，用于加密瀏覽器、Web 服務(wù)器和處理敏感信息的其他服務(wù)之間的數(shù)據(jù)傳輸。使用 SSL，數(shù)據(jù)使用私鑰加密，使用公鑰解密。實(shí)現(xiàn) SSL 的最常見方式是使用 SSL/TLS 網(wǎng)關(guān)。SSL/TLS 網(wǎng)關(guān)是實(shí)現(xiàn) SSL/TLS 的服務(wù)器。當(dāng)應(yīng)用使用 HTTPS 時(shí)，網(wǎng)關(guān)會將 HTTPS URL 映射到 SSL URL。因此，當(dāng)應(yīng)用連接到服務(wù)器時(shí)，它只會看到加密數(shù)據(jù)。
保護(hù)敏感數(shù)據(jù)的另一個(gè)重要方法是使用標(biāo)記化。標(biāo)記化是將敏感數(shù)據(jù)替換為看起來獨(dú)特的標(biāo)記的過程，但實(shí)際上并非敏感數(shù)據(jù)。標(biāo)記化可以通過多種方式保護(hù)數(shù)據(jù)。首先，它可以用看起來獨(dú)特的替代數(shù)據(jù)替換敏感數(shù)據(jù)。其次，它還可以確保數(shù)據(jù)始終以未加密形式發(fā)送。雖然未加密形式的數(shù)據(jù)不如加密數(shù)據(jù)安全，但仍然不是完全不安全的。
在實(shí)施 API 時(shí)，組織還應(yīng)確保不要將敏感數(shù)據(jù)存儲在 API 服務(wù)器上。相反，他們應(yīng)該將數(shù)據(jù)存儲在數(shù)據(jù)庫或其他外部系統(tǒng)中，尤其對于用戶帳戶詳細(xì)信息或付款信息等敏感數(shù)據(jù)。
在構(gòu)建 API 時(shí)，重要的是要考慮誰將訪問 API。這包括誰將有能力創(chuàng)建 API 密鑰并獲得訪問 API 的權(quán)限。除了管理 API 的用戶訪問權(quán)限外，組織還應(yīng)考慮管理 API 訪問權(quán)限。這包括創(chuàng)建 API 訪問策略并通過訪問控制強(qiáng)制執(zhí)行這些策略。
開發(fā)良好的 API 訪問管理系統(tǒng)有助于管理 API 訪問和權(quán)限。如果許多人都有能力創(chuàng)建 API 密鑰，這會特別有用，它將幫助確保 API 密鑰受到限制和控制。
有多種類型的 API 威脅預(yù)防解決方案可用。選擇適合您組織需求的解決方案非常重要。一種選擇是實(shí)施 API 防火墻。API 防火墻可以幫助防止威脅進(jìn)入和退出您的 API。
API 防火墻還可以通過阻止以未加密形式發(fā)送敏感數(shù)據(jù)來幫助保護(hù)敏感數(shù)據(jù)。這在 API 端點(diǎn)可公開訪問的情況下尤其有用。
為您的用例選擇正確的API 威脅預(yù)防解決方案也很重要。例如，如果您的 API 僅限于幾個(gè)端點(diǎn)，則可能不需要使用更成熟的解決方案。
文章來源：What are the best practices for API security?
