OWASP एपीआई सुरक्षा शीर्ष 10 RC

यह परियोजना उन संगठनों की बढ़ती संख्या के लिए अभिप्रेत है जो अपने सॉफ़्टवेयर समाधानों के हिस्से के रूप में संभावित संवेदनशील एपीआई को लागू करते हैं। एपीआई का उपयोग आंतरिक कार्यों के लिए और तीसरे पक्ष की सेवाओं के साथ बातचीत के लिए किया जाता है। दुर्भाग्य से, कई एपीआई कठोर सुरक्षा परीक्षण पास नहीं करते हैं जो उन्हें वेब एप्लिकेशन के लिए खतरे के परिदृश्य का विस्तार करते हुए, हमलों से सुरक्षित बनाते हैं।

OWASP एपीआई सुरक्षा शीर्ष 10 सुरक्षा परियोजना को असुरक्षित एपीआई में संभावित जोखिमों को उजागर करने और ऐसे जोखिमों को कम करने के लिए सुझाव देने के लिए डिज़ाइन किया गया है।

OWASP

OWASP परियोजना को कई मानकों, उपकरणों और संगठनों द्वारा संदर्भित किया जाता है, जिसमें MITER, PCI DSS, DISA, FTC, और कई अन्य शामिल हैं। कार्यप्रणाली OWASP दुनिया भर में वेब अनुप्रयोगों में कमजोरियों का आकलन करने के लिए एक मान्यता प्राप्त पद्धति है। ओडब्ल्यूएएसपी परियोजनाएं वेब और मोबाइल अनुप्रयोगों, एपीआई के लिए सबसे महत्वपूर्ण खतरों को दर्शाती हैं, परीक्षण विधियों और कार्यप्रणाली का वर्णन करती हैं।

डेवलपर्स या सुरक्षा सलाहकार के रूप में, कई लोग एक परियोजना के हिस्से के रूप में एक एपीआई में आए हैं। यद्यपि इन परियोजनाओं को बनाने और उनका मूल्यांकन करने में मदद करने के लिए कुछ संसाधन हैं (उदाहरण के लिए, OWASP REST सुरक्षा धोखा पत्रक), डेवलपर्स, पेन्टेस्टर्स और सुरक्षा पेशेवरों की सहायता के लिए कोई व्यापक सुरक्षा परियोजना विकसित नहीं की गई है।

आधुनिक एपीआई

यह दस्तावेज़ रिलीज़ कैंडिडेट स्थिति में है; 2020 की दूसरी तिमाही के लिए एक आधिकारिक प्रस्तुति की योजना बनाई गई है। एपीआई सुरक्षा, एप्लिकेशन प्रोग्रामिंग इंटरफेस (एपीआई) की अद्वितीय कमजोरियों और सुरक्षा जोखिमों को समझने और कम करने के लिए रणनीतियों और समाधानों पर केंद्रित है।

इस शीट को बनाने के लिए क्या शर्त बन गई:

• क्लाइंट डिवाइस अधिक विविध और जटिल होते जा रहे हैं।
• तर्क बैकएंड से फ्रंटेंड तक (कुछ कमजोरियों के साथ) चलता है।
• अमूर्तता की कम परतें।
• क्लाइंट और सर्वर (और डेटाबेस) एक ही JSON भाषा में "बोलते हैं"।
• सर्वर को डेटा के लिए प्रॉक्सी के रूप में अधिक उपयोग किया जाता है।
• रेंडरिंग घटक क्लाइंट है, सर्वर नहीं।
• ग्राहक कच्चे डेटा का उपभोग करते हैं।
• एपीआई आवेदन के अंतर्निहित कार्यान्वयन को प्रकट करता है।
• उपयोगकर्ता की स्थिति आमतौर पर ग्राहक द्वारा बनाए रखी जाती है और उसकी निगरानी की जाती है।
• प्रत्येक HTTP अनुरोध अतिरिक्त पैरामीटर (ऑब्जेक्ट पहचानकर्ता) भेजता है,
• फिल्टर)।

एक आधुनिक वेब एप्लिकेशन एक एपीआई का उपयोग किए बिना कल्पना करना लगभग असंभव है।

OWASP एपीआई सुरक्षा शीर्ष 10

A1 वस्तु स्तर पर गलत प्राधिकरण

अक्सर, एपीआई उन समापन बिंदुओं को उजागर करते हैं जो पहचानकर्ताओं के लिए जिम्मेदार होते हैं, जो पहुंच नियंत्रण के स्तर पर हमलों के लिए महान अवसर खोलते हैं। उपयोगकर्ता इनपुट को स्वीकार करने वाले प्रत्येक फ़ंक्शन में ऑब्जेक्ट स्तर प्राधिकरण जांच को लागू किया जाना चाहिए।

A2 अमान्य प्रमाणीकरण

प्रमाणीकरण तंत्र को अक्सर गलत तरीके से लागू किया जाता है, जो हमलावरों को प्रमाणीकरण टोकनों से समझौता करने या कार्यान्वयन में त्रुटियों का शोषण करने की अनुमति देता है ताकि अस्थायी रूप से या स्थायी रूप से किसी अन्य उपयोगकर्ता को लगाया जा सके। क्लाइंट / उपयोगकर्ता की पहचान करने के लिए सिस्टम की क्षमता से समझौता पूरे एपीआई की सुरक्षा से समझौता करता है।

A3 बेमानी जानकारी जारी करना

मानकीकरण के लिए प्रयास करते हुए, डेवलपर्स ऑब्जेक्ट के सभी मापदंडों का खुलासा कर सकते हैं, उनमें से प्रत्येक की महत्वपूर्णता को ध्यान में नहीं रखते हुए, उम्मीद करते हैं कि ग्राहक उपयोगकर्ता को दिखाने से पहले डेटा को फ़िल्टर करेगा।

A4 संसाधनों और अनुरोधों पर सीमाओं का अभाव

अक्सर, एपीआई उपयोगकर्ता द्वारा अनुरोधित संसाधनों के आकार या मात्रा पर कोई प्रतिबंध नहीं लगाता है। यह न केवल प्रदर्शन में गिरावट और यहां तक ​​कि DoS के लिए, बल्कि हमलों के प्रमाणीकरण के लिए भी नेतृत्व कर सकता है - उदाहरण के लिए bruteforce।

A5 कार्यों का गलत प्राधिकरण

विभिन्न पदानुक्रमों, समूहों और भूमिकाओं के साथ जटिल पहुंच नीतियां, साथ ही प्रशासनिक और सामान्य कार्यों के बीच एक अपारदर्शी अलगाव, अक्सर प्राधिकरण में कमजोरियों का कारण बनता है। इन कमजोरियों का फायदा उठाकर, हमलावर अन्य उपयोगकर्ताओं के संसाधनों तक या व्यवस्थापक की कार्यक्षमता तक पहुँच प्राप्त करते हैं।

ए 6 पैरामीटर पुनर्मूल्यांकन

क्लाइंट से प्राप्त डेटा (उदाहरण के लिए, JSON में) को बिना फ़िल्टर किए डेटा मॉडल से बाइंडिंग डेटा आमतौर पर मापदंडों के पुनर्मूल्यांकन की ओर जाता है। हमलावर, एपीआई की खोज, प्रलेखन पढ़ रहे हैं, या बस अनुमान लगा रहे हैं कि वे अनुरोधों में "अतिरिक्त" पैरामीटर जोड़ सकते हैं, उन वस्तुओं को बदल सकते हैं जिनके पास उनकी पहुंच नहीं है।

A7 सुरक्षा सेटिंग्स त्रुटियां

सुरक्षा सेटिंग्स में त्रुटियां सबसे अधिक बार डिफ़ॉल्ट सेटिंग्स, "बैसाखी", बादलों में भंडारण, HTTP हेडर के गलत कॉन्फ़िगरेशन, अनावश्यक HTTP तरीकों, अत्यधिक विस्तृत कॉर्स सेटिंग्स और सक्षम त्रुटि आउटपुट के परिणामस्वरूप होती हैं।

ए 8 इंजेक्शन

SQL, NoSQL, कोड / कमांड इंजेक्शन, आदि जैसे इंजेक्शन भेद्यता जब अविश्वसनीय डेटा हैंडलर को एक अनुरोध या आदेश के भाग के रूप में भेजा जाता है। हमलावर द्वारा एम्बेड किया गया डेटा हैंडलर को "ट्रिक" कर सकता है और यह एक मनमाना कमांड निष्पादित करेगा, या उचित प्राधिकरण के बिना डेटा प्राप्त करेगा।

ए 9 गलत संसाधन प्रबंधन

एपीआई अक्सर पारंपरिक वेब अनुप्रयोगों की तुलना में अधिक सुविधाएँ प्रदान करते हैं, इसलिए यह विशेष रूप से महत्वपूर्ण है कि प्रलेखन पूर्ण और अद्यतित है। सही तरीके से स्थापित और कॉन्फ़िगर किया गया API, API के पुराने संस्करणों और डिबगिंग कार्यक्षमता के लिए खुली पहुंच जैसी समस्याओं से बचाने में महत्वपूर्ण भूमिका निभाता है।

A10 अपर्याप्त लॉगिंग और निगरानी

अपर्याप्त लॉगिंग और निगरानी, ​​खराब या प्रतिक्रिया प्रक्रियाओं में एकीकरण की कमी के साथ मिलकर, हमलावरों को अपने हमलों को विकसित करने, नेटवर्क में एक पैर जमाने, नए लक्ष्यों को पकड़ने, डेटा को डाउनलोड करने या नष्ट करने की अनुमति देता है। अधिकांश हैकिंग जांच से पता चलता है कि औसत पहचान का समय 200 दिनों से अधिक है, और हैकिंग के तथ्य का पता बाहरी निगरानी प्रणाली के बजाय बाहरी ठेकेदारों द्वारा लगाया जाता है।

OWASP एपीआई सुरक्षा शीर्ष 10 2019

---

ओडब्ल्यूएएसपी रूस अध्याय: ओडब्ल्यूएएसपी रूस
OWASP रूस चैट: https://t.me/OWASP_Russia
OWASP रूस चैनल: https://t.me/OWASP_RU