Privát mikrofizetési csatornák dVPN-hez és adatátvitelhez

A dokumentálatlan API-k növekvő káosza

Érezte már úgy, hogy a fejlesztőcsapata olyan sebességgel halad, hogy digitális morzsákat szór el maga után? Ez a klasszikus „adjuk ki most, dokumentáljuk később” esete, de az a bizonyos „később” általában soha nem jön el.

A valóság az, hogy a legtöbb biztonsági csapat sötétben tapogatózik. A StackHawk 2024-es alkalmazásbiztonsági (AppSec) felmérése szerint a csapatok mindössze 30%-a biztos abban, hogy rálát a teljes támadási felületére. Ez hatalmas űrt hagy maga után, ahol a shadow API-k – vagyis azok a végpontok, amelyek léteznek, de egyetlen Swagger fájlban sem szerepelnek – vígan élik világukat.

• Gyorsaság a biztonság felett: A nyomás alatt dolgozó fejlesztők ideiglenes API-kat hoznak létre teszteléshez, majd egyszerűen... elfelejtik leállítani őket.
• A kapuőr megkerülése: Mivel ezek nem „hivatalos” végpontok, gyakran kimaradnak a szabványos hitelesítési logikából vagy a lekérdezés-korlátozásból (rate limiting).
• Adatszivárgás: Egy webáruház elfelejtett végpontja továbbra is hozzáférhet az ügyfelek személyes adataihoz (PII), és csak egy egyszerű IDOR támadásra vár. (Ez az Insecure Direct Object Reference rövidítése, ami alapvetően a BOLA egyik típusa, ahol a felhasználó mások adataihoz férhet hozzá pusztán egy erőforrás-azonosító kitalálásával).

Őszintén szólva, láttam már olyan elavult végpontokat, amelyek hónapokkal a „migráció” után is aktívak maradtak. Ez meglehetősen kaotikus állapot. A következőkben nézzük meg, hogyan bukkanhatunk ténylegesen ezeknek a szellemeknek a nyomára.

A különbség a shadow, a zombi és a rogue API-k között

Képzelje el az API-ökoszisztémáját úgy, mint egy házat, amelyben tíz éve lakik. Ismeri a bejárati ajtót és az ablakokat, de mi a helyzet azzal a furcsa szerelőnyílással, amiről az előző tulajdonosok elfelejtettek szólni?

A kiberbiztonság világában gyakran mindent a „shadow API” (árnyék-API) gyűjtőnév alá söprünk, de ez szakmailag kissé felületes megközelítés. Ha valóban rendet akar tenni a káoszban, pontosan tudnia kell, milyen „szellemekre” vadászik.

• Shadow API-k (A szándékolatlanok): Ezek általában véletlenszerűen születnek. Például egy egészségügyi startup fejlesztője létrehoz egy gyors végpontot az új páciensportál teszteléséhez, de elfelejti dokumentálni. Az API él, működik, de nem szerepel a hivatalos jegyzékben.
• Zombi API-k (Az elfeledettek): Ezek az „élőhalott” verziók. Vegyünk egy pénzügyi alkalmazást, amely tavaly váltott az 1-es verzióról a 2-esre. Mindenki továbblépett, de az 1-es verzió még mindig fut valahol egy szerveren – javítások nélkül, kiszolgáltatva a hitelesítő adatokkal való visszaéléseknek (credential stuffing).
• Rogue végpontok (A rosszindulatúak): Itt válnak komollyá a dolgok. Ezek olyan hátsó kapuk (backdoor), amelyeket szándékosan hagyott hátra egy elégedetlen alkalmazott vagy egy támadó. Teljesen megkerülik a biztonsági átjárókat (gateways), hogy adatokat tulajdonítsanak el.

Az Edgescan kutatói szerint csak 2023-ban hatalmas, 25%-os növekedés volt tapasztalható az API-sebezhetőségek számában, folytatva az évek óta tartó, rekordokat döntögető kockázati trendet. Ez nem csupán egy apró emelkedés, hanem a fenyegetettség valóságos robbanása.

Őszintén szólva, egy zombi API-ra bukkanni egy régi kiskereskedelmi rendszerben olyan érzés, mintha egy időzített bombát találnánk. Senki sem szeretné megvárni, amíg egy adatvédelmi incidens során derül ki, hogy az 1.0-s verzió még mindig vígan kommunikált az adatbázissal.

Hogyan deríthetünk fényt ezekre a rejtett kockázatokra? Nézzük meg közelebbről a felderítő eszközöket.

Hogyan találjuk meg azt, amiről nem is tudjuk, hogy létezik?

Próbált már megkeresni egy konkrét zoknit egy olyan szennyeskosárban, ami gyakorlatilag egy fekete lyuk? Pontosan ilyen érzés dokumentálatlan végpontok (endpoints) után kutatni – azzal a különbséggel, hogy az a zokni itt történetesen egy hátsó kapu (backdoor) is lehet az adatbázisához.

Ha nem akar sötétben tapogatózni, két fő módszer létezik a felderítésre. Az első a forgalomfigyelés (traffic monitoring). Ilyenkor gyakorlatilag a hálózaton ülve figyeli, mi éri el az átjárókat (gateways). Az olyan eszközök, mint az apigee, kiválóak erre, mivel lehetővé teszik a forgalom és a biztonsági események monitorozását anélkül, hogy lassítanák az alkalmazást. Ez a módszer remekül megmutatja, mi aktív éppen most, de elkerülhetik a figyelmét a „sötét” végpontok, amelyek például csak havonta egyszer ébrednek fel egy konkrét ütemezett feladat (cron job) kedvéért.

A másik módszer a kódalapú felderítés. Itt a GitHub vagy Bitbucket tárolókat (repos) kell átvizsgálni, hogy megtaláljuk, hol definiálták a fejlesztők az útvonalakat (routes). Ahogy a StackHawk is rámutat, a kód elemzése segít megtalálni a végpontokat még azelőtt, hogy azok éles környezetbe (production) kerülnének.

• Forgalmi naplók (Traffic logs): A legjobb módszer a valós használat nyomon követésére és a furcsa adatforgalmi tüskék kiszúrására, például egészségügyi vagy kereskedelmi alkalmazásoknál.
• Statikus elemzés (Static analysis): Megtalálja a forráskódban azokat a rejtett útvonalakat, amelyeket hónapok óta nem hívtak meg.
• A hibrid megoldás: Őszintén szólva a két módszer együttes alkalmazása az egyetlen járható út. Ahhoz, hogy ez működjön, szüksége van egy központi API-leltárra (API Inventory) vagy katalógusra, amely összesíti a forgalomból és a kódból származó adatokat, így egyetlen hiteles forrása lesz az igazságnak.

A Verizon jelentése szerint az API-kkal kapcsolatos visszaélések száma az egekbe szökött, mivel a támadók a hagyományos webalkalmazásokról ezekre helyezték át a fókuszt. (2024 Data Breach Investigations Report (DBIR) - Verizon) Ha nem ellenőrzi egyszerre a forgalmat és a kódot, az olyan, mintha nyitva hagyná a hátsó ablakot.

Ezt nem lehet manuálisan végezni. Láttam már csapatokat, akik táblázatban próbálták vezetni az API-kat – a második napra teljes káoszba fulladt az egész. A felderítést közvetlenül a CI/CD folyamatba (pipeline) kell integrálni.

Amikor egy új végpont bukkan fel, az olyan eszközök, mint az APIsec.ai, automatikusan képesek feltérképezni azt, és jelezni, ha érzékeny adatokat, például személyes azonosító adatokat (PII) vagy bankkártya-információkat kezel. Ez kritikus fontosságú a pénzügyi vagy e-kereskedelmi csapatok számára, akiknek meg kell felelniük a PCI-előírásoknak.

Miután megtaláltuk ezeket a „szellem-végpontokat”, kezdenünk is kell velük valamit. A következőkben azt járjuk körül, hogyan tesztelhetjük ezeket a végpontokat anélkül, hogy bármit tönkretennénk a rendszerben.

Fejlett tesztelési technikák modern API-khoz

Egy dokumentálatlan API felkutatása még csak a csata fele; az igazi fejtörést az okozza, amikor megpróbáljuk kideríteni, hogy valóban biztonságos-e. A szabványos szkennerek kiválóak az egyszerűbb hibák kiszűrésére, de általában kudarcot vallanak a modern API-k által használt összetett logika elemzésekor.

Ha nyugodtan akarunk aludni, túl kell lépnünk az alapvető fuzzing technikákon. A legtöbb adatszivárgás logikai hibákból adódik, nem pedig csupán a hiányzó frissítésekből.

• BOLA (Objektumszintű jogosultságkezelési hiba): Ez az API-sebezhetőségek abszolút királya. Ez az az eset, amikor megváltoztatunk egy azonosítót az URL-ben – például a /user/123-at /user/456-ra –, a szerver pedig minden további nélkül átadja az adatokat. Az automatizált eszközök ezt gyakran elvétik, mert nem értik a „kontextust”, vagyis azt, hogy kinek mihez kellene hozzáférnie.
• Tömeges hozzárendelés (Mass Assignment): Láttam már olyat, hogy ez tette tönkre egy webáruház fizetési folyamatát. Egy fejlesztő elfelejti szűrni a bemeneti adatokat, a felhasználó pedig hirtelen elküldhet egy rejtett "is_admin": true mezőt a profilfrissítés során.
• Üzleti logikai hibák: Gondoljunk csak egy fintech alkalmazásra, ahol megpróbálunk negatív összeget átutalni. Ha az API nem ellenőrzi megfelelően a matematikai műveletet, a végén még az is előfordulhat, hogy pénzt adunk hozzá a saját egyenlegünkhöz.

Őszintén szólva, az ilyen „trükkös” hibák kiszűrése az oka annak, hogy sok csapat specializált szolgáltatások felé fordul. Az Inspectiv kiváló példa erre: a szakértői tesztelést bug bounty menedzsmenttel ötvözik, hogy megtalálják azokat a különleges határeseteket, amelyeket egy bot soha nem venne észre.

Mindenesetre a tesztelés egy folyamatos ciklus, nem pedig egyszeri feladat. A következőkben azt vizsgáljuk meg, miért kulcsfontosságú az API-leltár szervezett vezetése a jogi és megfelelőségi (compliance) csapatok számára.

Megfelelőség és az üzleti háttér

Próbált már valaha elmagyarázni egy igazgatósági tagnak, hogy miért szabtak ki hatalmas bírságot egy „szellem” végpont miatt? Nem egy kellemes beszélgetés, különösen, amikor a könyvvizsgálók elkezdenek vájkálni az egyedi szoftverleltárban.

A megfelelőség (compliance) ma már nem csupán a jelölőnégyzetek kipipálásáról szól – hanem annak bizonyításáról, hogy valóban tisztában van azzal, mi fut a háttérben. Amit nem lát, azt nem tudja megvédeni, és a szabályozó hatóságok egyre szigorúbban lépnek fel ezen a téren.

• A könyvvizsgáló ellenőrzőlistája: A PCI DSS v4.0.1 értelmében kötelező pontos leltárt vezetni minden egyedi szoftverről és API-ról. Ha egy elavult kiskereskedelmi végpont még mindig bankkártyaadatokat kezel anélkül, hogy szerepelne a listán, az automatikus bukást jelent az auditon.
• Jogszerű adatkezelés: A GDPR 30. cikke szerint dokumentálni kell a személyes adatok feldolgozásának minden módját. Az egészségügyi vagy pénzügyi alkalmazásokban megbújó, dokumentálatlan API-k, amelyek személyes adatokat (PII) szivárogtatnak, valóságos mágnesként vonzzák a súlyos bírságokat.
• Biztosítási előnyök: Őszintén szólva, egy tiszta, dokumentált API-támadási felület még a csillagászati összegű kiberbiztosítási prémiumok csökkentésében is segíthet. A biztosítók díjazzák, ha látják, hogy a szervezet kézben tartja a „digitális terjeszkedést”.

Láttam már olyan fintech csapatot, amely hetekig kétségbeesetten kapkodott, mert egy auditor talált egy v1-es végpontot, amelyről már mindenki megfeledkezett. Ez kaotikus és rendkívül költséges folyamat. Ahogy korábban is említettem: a papírmunka és a büntetések megelőzésének egyetlen módja, ha feltérképezzük azt, amiről jelenleg nem is tudunk.

Most, hogy kiveséztük a miérteket és az üzleti kockázatokat, zárjuk a témát azzal, hogy mit tartogat a jövő a végpont-felderítés területén.

Összegzés

A fentiek fényében egyértelművé vált, hogy az API-biztonság ma már nem csupán egy „opcionális extra”. Ez a valódi tűzvonal, ahol az alkalmazások többségét olyanok próbálják feltörni és manipulálni, akiknek távolról sem a mi érdekeink lebegnek a szemük előtt.

Őszintén szólva, nem tudjuk megvédeni azt, amiről nem is tudunk. Éppen ezért, én a következőképpen fognék hozzá a digitális káosz felszámolásához:

• Indítson el egy felderítő szkennelést még ezen a héten: Ne gondolja túl. Egyszerűen futtasson le egy automatizált eszközt – például a korábban említettek közül – a fő repository-kon. Valószínűleg találni fog egy 2023-ból ottfelejtett „teszt” végpontot, ami még mindig aktív; lehet, hogy szívrohamot kap tőle, de még mindig jobb, ha Ön talál rá, mint valaki más.
• Képezze ki fejlesztőit az OWASP API Top 10 listájából: A legtöbb mérnök biztonságos kódot akar írni, csak egyszerűen túlterheltek. Mutassa meg nekik, hogyan képes egy egyszerű BOLA (törött objektumszintű jogosultságkezelés) hiba egy teljes lakossági adatbázis kiszivárogtatására – ez sokkal mélyebb nyomot hagy bennük, mint egy unalmas prezentáció.
• Ne várja meg az adatvédelmi incidenst: Azzal foglalkozni, hogy léteznek-e „shadow” (árnyék) végpontok, miután a személyes adatok már kikerültek a dark webre, igen drága tanulópénz. A folyamatos felderítésnek minden sprintnél a „kész” (definition of done) kritérium részévé kell válnia.

Láttam már egészségügyi csapatokat, akik olyan „csak fejlesztői” API-kat találtak, amelyek véletlenül páciensadatokat tettek közzé, mert kihagyták a hivatalos hitelesítési kaput. Ez ijesztő. De ahogy az Apigee példáján is láttuk, a modern platformok ma már sokkal könnyebbé teszik a monitorozást anélkül, hogy az a futásidejű teljesítmény rovására menne.

Végül is az API-biztonság egy maraton. Ha folyamatosan vadássza ezeket a „szellem-végpontokat”, már a mezőny 70%-a előtt fog járni. Vigyázzanak az adataikra!