Bienvenidos al tercer blog de la serie del API Owner Fundamentals de la Fundación APIAddicts, curso pionero en su certificación y que este año ha sido realizado por algunos de nuestros warriors.

Hoy hablaremos de la Seguridad en las APIs, su importancia y los aspectos a tener en cuenta para evitar fallos cruciales. Así que comencemos por el principio... 

¿Por qué es tan importante la seguridad en las APIs?

En los sistemas anteriores al uso de las APIS toda la lógica de la aplicación, los pasos para la ejecución, la orquestación... se dividía en diferentes capas. Incluyendo la autenticación y orquestación desde el servidor. Es decir, la aplicación requería de diferentes bloques de lógica para ejecutarse que servían como muros alrededor de la información.

Con la evolución hacia las APIS, los problemas de seguridad que aparecen son distintos.

No se trata de una aplicación de escritorio o un servlet que esté sirviendo la información, sino que un servidor da punto de entrada que me permiten exponer información. Las metodologías identificadas para servir a la seguridad de los sistemas tradicionales no sirven para este nuevo formato de: Distintas tecnologías llevan a problemas diferentes.

Una buena praxis es considerar las APIs como abiertas, no en el sentido de que puede consumirlas cualquiera, sino que se trata de una dirección y un puerto accesibles desde la internet. Aunque no estén publicadas o expuestas y requieran de algún tipo de credenciales son accesibles para cualquier conectada a la red de redes.
En materia de seguridad se dice que el riesgo 0 no existe, sino que existen diferentes grados de riesgo. Incluso para un API que se define para consumo únicamente interno también presenta riesgo. La gestión de seguridad se basa en conocer y proteger los diferentes canales. En el ámbito de la seguridad el paradigma cambia ya no se trata de generar un perímetro para proteger los sistemas, sino proteger los datos en sí.

1. Si no conoces, no proteges

Para llegar al proceso de seguridad de una API, se debe haber realizado la Definición entre otros procesos dentro del desarrollo de un proyecto API. API Security requiere de un catálogo bien definido que muestre documentados  todos los endpoints que tenemos expuestos, así como sus versiones (el ciclo de vida). Esto nos ampara en una de las primas de Seguridad: Si no conoces, no proteges.

2. Las APIs internas deben ser tratadas como si fueran públicas

Una de las razones por las que es importante securizar las APIs internas es para asegurar que desde un primer momento se están llevando buenas praxis como es un hacer excepciones y unos de los principios de los gestores de seguridad: “Mi trabajo es no confiar”.

3. Marcar el nivel de sensibilidad y asegurar el control en el acceso de nuestras entradas a los diferentes datos

La seguridad está basada en riesgo, no existe ningún sistema seguro por completo y existen muchos métodos de Hacking que permiten conocer y explotar las brechas que tenemos en nuestro sistema: Malware, Social Engineering o Reverse Engineering.

Trump es un actor poderoso, pero hasta a él le hackearon la cuenta de Twitter y por lo visto aumentó la calidad de su lenguaje por un breve periodo de tiempo. Esto se debe a que el sistema de Twitter tenía una brecha al haber permitido que ciertos usuarios fueran “super superadmin”. Un usuario con capacidad hasta para escribir tweets como si fuera otro usuario. Mediante la coacción de uno de los usuarios con este nivel de privilegios, se hizo sencillo para los crackers hacerse pasar por él. 

1. Protección de datos

La protección de los datos hace referencia a los problemas relacionados con el flujo de datos que necesita la API para su actividad, bien sea por el envío: Demasiada información en la respuesta mandada al usuario que permite una vía de acceso. O por la recepción de los datos: Demasiada información requerida en la petición realizada por el usuario contra la API o, cuando esta es algo inesperado por el sistema por llevar un formato que desconoce, Inyección.

2- Demasiada información requerida. El usuario tiene un formato de petición con el que puede modifica el comportamiento del servidor. Es decir, se permite lanzar una petición que da acceso a unos recursos a los que no debería tener acceso. Se piden datos que pueden configurar el acceso del cliente al conocerse y configurarse de forma inesperada para la aplicación. 

Esto ocurre a menudo, si se piensa solo en el formato de entrada de un sistema que está cerrado y es bien conocido sin valorar la diferente casuística que puede producirse. Para que esto no nos ocurra es importante conocer el formato de entrada de los datos. En el diagrama siguiente la bola roja identifica el dato inesperado.

Cuanto más sabemos de seguridad más reafirmamos que ningún sistema es seguro. La seguridad en las APIs es esencial ya que estas exponen la lógica de la aplicación y los datos confidenciales, como la #PII. Por ello, es necesario centrarse en las estrategias y soluciones para comprender y mitigar las vulnerabilidades de las aplicaciones web.

Además es un factor fundamental que debemos tener en cuenta durante todo el proceso de APIficación. Hay que pensar en cómo hackear nuestros propios sistemas para poder estar preparados para todo y machacar con lo que no estamos esperando, solo así podremos proteger los datos más sensibles.