AG公司云
来吧，聊聊API清静
2020-08-13
一、前言
近些年，API清静在清静领域越来越多的被业界和学术界提及和关注 。OWASP在2019年将API清静列为未来最受关注的十大清静问题 。事实上随着应用程序驱动的普及，API接口已经是Web应用、移动互联网以及SaaS服务等领域的主要组成部分，无论是我们在网上购物，或者是在银行生意，甚至在医院看病挂号都会陪同着对API接口的会见和控制 。由于对API接口的会见与控制陪同着数据的传输，其中不乏大宗的用户隐私数据以及主要文件数据，因此越来越多的不法黑客将API接口作为攻击的目的，并通过不法控制和使用API接口窃取数据等 。以是没有清静的API服务，就会带来生爆发涯上的重大未便和潜危害 。
所谓API清静防护就是对API的完整性举行有用的�；� 。现在API清静防护步伐主要集中在会见授权认证机制、会见频率与会见量的限制与负载平衡以及数据在网络通讯历程中的数据隐私�；� 。其解决计划主要围绕TLS、SSL以及会见控制等手艺手段举行防护 。
二、API清静生长趋势
现在随着互联网、物联网等快速生长，越来越多的开发者会使用API接口为客户提供种种微服务并通过云原生应用快速安排容器举行快速迭代开发 。因此无论是在互联网会见网络资源或者通过物联网举行系统应用的控制都会使用API接口 。由于在API接口既能够起到毗连服务的功效，又可以用来传输数据，因此API的清静防护很是主要也很是敏感 。现在已经泛起了多因由为API被攻击或者保存误差而泛起的数据走漏的事故，例如2019年Instagram因API接口误差导致用户数据以及照片被泄露 。这一类API清静被破损的情形一旦泛起在数据敏感的主要领域，例如金融行业，医疗行业等，就会引发卑劣的社会影响，一旦被走漏的数据被黑客不法使用都可能带来经济上甚至政治上的不良影响 。因此对API清静举行防护，既有利于用户清静使用API所提供的服务，又能够为用户的隐私数据举行保驾护航 。
一样平常而言，我们提到的API清静防护是指Web API清静防护，其中一个主要的关注问题在于经由API接口建设起来的用户和服务之间的通讯数据怎样防护 。现在大部分开放的API接口都属于REST(表述性状态转达)接口或者是SOAP(简朴工具会见协议)接口 。RESTAPI接口是通过HTTP协议建设毗连并使用TLS(传输层清静性)举行加密，确保在服务毗连历程中数据被加密并避免数据被改动 。别的RESTAPI也可以使用JSON的数据传输名堂举行文件的数据传输 。SOAPAPI接口是通过Web服务清静性的内置协议建设服务毗连并传输数据，并且支持W3C（万维网同盟）和OASIS（结构化信息标准增进组织）两个标准机构制订的标准 。由于内置协议中自界说了加密和身份认证的规则集，因此食用SOAPAPI在清静步伐上更受接待，但这也意味着使用SOAPAPI会带来更多在身份认证方面的治理和授权 。由于RESTAPI不需要存储或者对数据举行重新打包封装，因此RESTAPI的数据传输速率比SOAPAPI会更快 。可是关于处置惩罚敏感数据较量多的场景下使用SOAPAPI会越发清静 。
三、API清静防护步伐
为了提高API清静性，凭证OWASP提出的API威胁所包括的拒绝服务攻击、窃取隐私数据、未授权会见等类型的攻击威胁，清静厂商可以在以下方面举行应用或者提升，以包管用户的API服务使用体验 。
1）使用令牌手艺，通过令牌建设API接口的可信身份，然后使用属于可信身份的令牌才华够实现对服务和数据资源等举行会见以及控制 。
2）使用加密和署名手艺，例如在RESTAPI中使用TLS等加密方法对数据举行加密，包管数据在传输历程中被加密并避免被改动 。使用署名手艺可以包管只有拥有数据会见权限的用户才华够对数据举行解密并对数据举行修改 。
3）自动识别API中的误差 �？梢允褂眉觳庑崽狡鞫訟PI清静举行检测并检查数据被走漏的情形，确保在网络情形下API服务的清静性，实时追踪API接口是否被不法黑客举行攻击以及误差被使用的情形 。
4）使用API清静网关 。现在API清静网关已经被作为防护API清静的一个要害手艺被使用，由于API清静网关可以用来控制和治理API接口的使用情形，同时也可以对使用API接口和服务的用户举行身份认证，因此在�；な莺虯PI清静性上具备一定优势 。
5）通过对API接口的会见频率举行限制 。由于营业的差别，API接口被挪用的情形也会差别，通太过析和监测API接口被会见和挪用的频率来确保API接口未被攻击者攻击以及数据被走漏 。一样平常来说被攻击的API接口往往会泛起被挪用次数增多或者频率与正常情形泛起较大差别，因此通过限制API接口被会见的情形，举行限流等方法可以防护API泛起被攻击者攻击甚至是拒绝服务的情形 。
API的清静防护离不开营业层面上对API接口的开发和对API接口的治理 。一样平常来说API接口的清静开发需要开发职员具备API清静开发的知识和意识，并遵照清静开发规范对API接口举行开发和安排，而API接口的治理可以通过治理平台对其举行清静防护，例如使用基础的用户名密码的方法举行身份验证，或者通过API密钥即令牌字符串举行清静防护，或者基于OAuth框架举行用户身份信息的验证以及基本信息的校验 。事实上对API的清静防护是一件从开发到应用到运营维护整个阶段都要加入和防护的历程，这一点和古板的Web清静防护有所区别又有相似之处，是一件很有价值和意义的清静防护事情 。
现在市场上已经泛起了一些API清静防护的产品，例如红帽提供的3scaleAPI治理，能够一连的对API举行治理和防护 。它不但可以治理API、应用和开发者角色的API治理器，也可以执行API治理器战略和流量治理，并支持多身份认证协议的身份提供商中心 。在API网关方面，Amazon提供的API网关可以剖析到期的时间戳令牌，检查客户端身份是否有用，以及使用公钥来确认署名等 。别的，GOKU清静网关也可以实现网关系统的要求并具备一定的定制化特点 。在差别API清静网关产品中，清静性、便捷性和个性化是最主要的几个影响因素，网关不但要求API清静性和可用性有清静包管，也会阻止隐私数据在网关传输历程阻止被走漏 。Google收购的Apigee能够给客户提供一个跨云的API治理平台，通过自动探测API流量团结上下文举行剖析并爆发警报，为API服务提供实时上下文监控并快速诊断的能力以及接纳调解的步伐 。
四、API清静未来趋势
现在来看，API清静网关是各个企业�；PI清静的有用手段 。API清静网关是一种便捷的�；PI清静的工具，API清静网关可以使用流量过滤以及监控等方法对入侵举行检测并避免黑客攻击 。纵然现在市场上已经泛起了一些API清静防护产品息争决计划，可是由于在API海量数据中检测威胁并举行防护照旧面临着许多挑战，在重大多样的情形下举行防护是很难做到防护的智能化 。别的攻击者的攻击手段日新月异，转变很快，怎样设计弹性的治理系统对API服务举行清静监控是未来需要解决的问题 。在未来智能API清静解决计划会成为解决API清静问题的一个有用要领，并且已经在业界多次提及 。使用人工智能和机械学习手艺在海量API流量中举行威胁发明和清静防护，并使用AI模子的学习能力，在差别情形下动态的对API正常行为模式举行学习与积累，将有关行为的前置知识学习出来，然后自顺应的在情形下对API异�Ｔ硕傩惺侗鸩⒆瓒�，实现API清静的智能清静防护战略 。
五、总结
现在API清静已经成为提供API服务的企业之间以及企业内部都需要关注的一个清静问题，一旦没有很好的�；ず锰峁┓竦腁PI，不但会对用户的使用体验以及小我私家隐私带来威胁和危害，并且可能会使企业面临清静威胁和危害 。关于开发职员来说，为了提高API清静性需要在设计和开发阶段，对API的清静性举行优异的构建和设计，别的要遵守API清静开发规范举行实验 。关于治理职员来说，应该使用API治理平台对API服务所面临的危害举行检测和防护 。
· 参考链接 ·
[1].https://www.usenix.org/conference/usenixsecurity18/presentation/oneill
[2].https://www.ndss-symposium.org/ndss2014/workshop-usable-security-usec-2014-programme/should-i-protect-you-understanding-developers-behavior-privacy-preserving-apis/
[3].https://www.aqniu.com/news-views/37485.html
[4] https://www.redhat.com/
[5].https://smartbear.com/resources/ebooks/the-state-of-api-2019-report/
· 关于天枢实验室 ·
天枢实验室聚焦清静数据、AI攻防等方面研究，以期在“数据智能”领域获得突破 。
