Superfície de ataque da API

Uma API (interface de programação de aplicações) permite que programas se comuniquem pela rede.

Aplicativos web e móveis usam APIs para enviar e receber dados, geralmente como JSON por HTTP.

A superfície de ataque é a soma de todas as formas pelas quais um atacante poderia tentar invadir.

Para uma API, cada ponto de acesso, parâmetro e cabeçalho faz parte dessa superfície.

As APIs ficam diretamente à frente de dados valiosos e da lógica central de negócios.

Elas são projetadas para máquinas, por isso expõem pontos de entrada estruturados e previsíveis que os atacantes adoram sondar.

Um aplicativo moderno pode expor centenas de pontos de acesso.

Cada um é uma possível porta para um atacante testar.

Versões antigas e pontos de acesso sem documentação frequentemente permanecem disponíveis.

Essas APIs não catalogadas podem não ter as correções de segurança mais recentes, o que as torna alvos fáceis e negligenciados.

As APIs usam IDs sequenciais com frequência.

Um atacante pode simplesmente incrementar o número para tentar acessar dados que não lhe pertencem.

A documentação de APIs, como um arquivo público do OpenAPI ou do Swagger, é útil para os desenvolvedores.

Mas, se ficar pública, entrega aos atacantes um mapa completo de cada ponto de acesso e parâmetro.

Algumas APIs retornam registros inteiros e deixam o cliente fazer a filtragem.

Essa exposição excessiva de dados pode vazar campos como endereços de e-mail ou tokens que o usuário nunca deveria ver.

Se um ponto de acesso não verificar corretamente quem está fazendo a chamada, qualquer pessoa poderá usá-lo.

A falta de autenticação ou uma autenticação defeituosa é uma das fraquezas mais comuns e prejudiciais das APIs.

A OWASP publica uma lista dos riscos mais críticos de APIs, chamada de dez principais categorias de risco de API.

Ela orienta as equipes sobre o que defender primeiro, desde autorização quebrada até configurações de segurança incorretas.

Não é possível proteger aquilo que não se conhece.

A primeira etapa defensiva é um inventário: liste cada API, versão e ponto de acesso para não esquecer nada.

A superfície de ataque de uma API abrange cada ponto de acesso, parâmetro e versão.

As APIs são alvo porque expõem dados valiosos por meio de pontos de entrada previsíveis. Comece a defesa com um inventário completo e siga as dez principais categorias de risco de API da OWASP.