Open Worldwide Application Security Project (OWASP)

APIs neigen dazu, Endpunkte auszusetzen, die Objekt-Identifikatoren verarbeiten, wodurch eine große Angriffsfläche für Objektebene-Zugriffskontrollprobleme entsteht. Objektebene-Autorisierungsprüfungen sollten in jeder Funktion berücksichtigt werden, die auf eine Datenquelle mit einer vom Benutzer bereitgestellten ID zugreift.

Authentifizierungsmechanismen werden oft falsch implementiert, was es Angreifern ermöglicht, Authentifizierungstoken zu kompromittieren oder Implementierungsfehler auszunutzen, um vorübergehend oder dauerhaft die Identität anderer Benutzer anzunehmen. Die Kompromittierung der Fähigkeit eines Systems, den Client/Benutzer zu identifizieren, beeinträchtigt die API-Sicherheit insgesamt.

Diese Kategorie kombiniert API3:2019 Übermäßige Datenexposition und API6:2019 – Massenzuweisung, wobei der Schwerpunkt auf der Ursache liegt: dem Fehlen oder der unsachgemäßen Autorisierungsvalidierung auf der Objekteigenschaftenebene. Dies führt zu Informations- oder Manipulationsexposition durch unbefugte Parteien.

Die Erfüllung von API-Anfragen erfordert Ressourcen wie Netzwerkbandbreite, CPU, Speicher und Speicherplatz. Andere Ressourcen wie E-Mails/SMS/Telefonanrufe oder biometrische Validierung werden von Dienstleistern über API-Integrationen zur Verfügung gestellt und pro Anfrage bezahlt. Erfolgreiche Angriffe können zu Dienstverweigerung oder einer Erhöhung der Betriebskosten führen.

Komplexe Zugriffskontrollrichtlinien mit verschiedenen Hierarchien, Gruppen und Rollen und eine unklare Trennung zwischen administrativen und regulären Funktionen führen oft zu Autorisierungsfehlern. Durch die Ausnutzung dieser Probleme können Angreifer auf die Ressourcen und/oder administrativen Funktionen anderer Benutzer zugreifen.

APIs, die für dieses Risiko anfällig sind, setzen einen Geschäftsablauf frei – wie z.B. den Kauf eines Tickets oder das Posten eines Kommentars – ohne zu berücksichtigen, wie die Funktionalität dem Geschäft schaden könnte, wenn sie übermäßig in einer automatisierten Weise verwendet wird. Dies kommt nicht unbedingt von Implementierungsfehlern.

Serverseitige Anforderungsfälschung (SSRF) Schwachstellen können auftreten, wenn eine API eine entfernte Ressource abruft, ohne die vom Benutzer bereitgestellte URI zu validieren. Dies ermöglicht es einem Angreifer, die Anwendung zu zwingen, eine manipulierte Anfrage an ein unerwartetes Ziel zu senden, auch wenn sie durch eine Firewall oder ein VPN geschützt ist.

APIs und die sie unterstützenden Systeme enthalten typischerweise komplexe Konfigurationen, die dazu dienen, die APIs anpassbarer zu machen. Software- und DevOps-Ingenieure können diese Konfigurationen übersehen oder nicht den Sicherheitsbestpraktiken folgen, wenn es um die Konfiguration geht, und so die Tür für verschiedene Arten von Angriffen öffnen.

APIs neigen dazu, mehr Endpunkte als traditionelle Webanwendungen auszusetzen, was eine ordnungsgemäße und aktualisierte Dokumentation sehr wichtig macht. Ein ordnungsgemäßes Inventar von Hosts und bereitgestellten API-Versionen ist ebenfalls wichtig, um Probleme wie veraltete API-Versionen und freigelegte Debug-Endpunkte zu mildern.

Entwickler neigen dazu, Daten, die von Drittanbieter-APIs empfangen werden, mehr zu vertrauen als Benutzereingaben, und neigen daher dazu, schwächere Sicherheitsstandards anzunehmen. Um APIs zu kompromittieren, gehen Angreifer nach integrierten Drittanbieter-Diensten, anstatt zu versuchen, die Ziel-API direkt zu kompromittieren.