FAPI og finansielle API'er

FAPI fokuserer på tre hovedområder for at øge sikkerheden:

• Stærkere klientgodkendelse: Det sikres, at klientapplikationen virkelig er den, den udgiver sig for at være.
• Afsenderbegrænsede tokens: Det sikres, at adgangstokens kun kan bruges af den legitime klient.
• Anmodningsintegritet: Autorisationsanmodninger og -svar beskyttes mod manipulation.

En af FAPI's vigtigste forbedringer er det obligatoriske krav om Mutual TLS (mTLS) til klientgodkendelse.

I modsætning til almindelig TLS, hvor kun serveren beviser sin identitet, kræver mTLS, at både klienten og serveren fremlægger og verificerer kryptografiske certifikater. Det giver en langt stærkere sikkerhed for klientens identitet.

FAPI kræver Pushed Authorization Requests (PAR). I stedet for at sende alle parametre for autorisationsanmodningen via browserens omdirigering sender klienten dem først direkte til autorisationsserverens PAR-endepunkt.

Serveren returnerer derefter en unik request_uri. Det er denne URI, som klienten bruger i browserens omdirigering. Det beskytter følsomme parametre mod at blive eksponeret i browserhistorikken eller logfiler.

Her er en forenklet visning af PAR-forløbet:

1. Klienten (appen) sender autorisationsparametre (for eksempel område og client_id) til autorisationsserverens PAR-endepunkt.
2. Autorisationsserveren validerer parametrene, gemmer dem og returnerer en request_uri.
3. Klienten (appen) omdirigerer brugerens browser til autorisationsserverens autorisationsendepunkt og medtager kun request_uri.
4. Autorisationsserveren henter de gemte parametre ved hjælp af request_uri og fortsætter forløbet.

FAPI anbefaler eller kræver ofte Demonstrating Proof-of-Possession (DPoP). DPoP binder et adgangstoken kryptografisk til klientens private nøgle.

Når klienten bruger adgangstokenet til at få adgang til en ressource, skal den også levere en signatur, der er oprettet med dens private nøgle. Det sikrer, at et stjålet adgangstoken ikke kan bruges af en uautoriseret part, fordi denne ikke har den tilsvarende private nøgle.

FAPI er en grundpille i mange Open Banking-initiativer verden over, for eksempel Storbritanniens Open Banking Standard og Australiens Consumer Data Right.

Det leverer den nødvendige sikkerhedsramme, så tredjepartsapplikationer med udtrykkeligt samtykke kan få sikker adgang til kunders finansielle data. Dermed fremmes innovation, samtidig med at en høj grad af tillid bevares.

Sammenfattende tilføjer FAPI flere kritiske krav ud over standard-OAuth2/OIDC:

• Obligatorisk mTLS til klientgodkendelse.
• Obligatoriske Pushed Authorization Requests (PAR).
• Stærkere binding af tokens (for eksempel DPoP) for at forhindre eksfiltrering af tokens.
• Krav om signerede autorisationsanmodninger og -svar.
• Strengere algoritmekrav til kryptografiske operationer.

Du har undersøgt FAPI, en vigtig sikkerhedsprofil til højrisiko-API'er, især inden for finanssektoren. Den forbedrer OAuth2 og OIDC med stærkere klientgodkendelse (mTLS), sikker håndtering af anmodninger (PAR) og binding af tokens (DPoP).

Ved at håndhæve disse robuste foranstaltninger gør FAPI sikker og regeloverholdende datadeling mulig og baner vejen for innovationer som Open Banking uden at gå på kompromis med brugernes tillid.