مقاله های تخصصی مرکز آپا دانشگاه اراک

‫ده‬ ‫آسیب‬ ‫پذیری‬‫ بحرانی‬ ‫امنیت‬ ‫‪API‬‬ ‫از‬ ‫منظر‬ ‫‪OWASP‬‬

‫‪API‬‬‫ها‬‫معمولا‬ ‫توابع‬ ‫مدیریت‬ ‫کننده‬ ‫شناسه‬ ‫های ‬‫اشیا‬ ‫را‬ ‫در‬ ‫معرض‬ ‫دید‬ ‫قرار‬ ‫داده‬ ‫و‬ ‫سطح‬ ‫حمله‬ ‫‪1‬‬‫گسترده‬ ‫ای‬ ‫را‬ ‫برای‬‫ نقض‬ ‫کنترل‬ ‫دسترسی‬ ‫ایجاد‬ ‫می‬ ‫نمایند‪.‬‬‫کنترل‬ ‫های‬‫ مجوزدهی‬ ‫در‬ ‫سطح‬ ‫اشیا‬ ‫بایستی‬ ‫در‬ ‫کلیه‬ ‫توابعی‬ ‫که‬ ‫با‬ ‫گرفتن‬‫ ورودی‬ ‫از‬ ‫کاربر‬ ‫به‬ ‫منابع‬ ‫داده‬ ‫دسترسی‬ ‫دارند‬ ‫پیاده‬ ‫سازی‬‫ شود‪.‬‬ ‫مکانیزم‬‫ های‬‫احرازهویت‬ ‫غالبا‬ ‫به‬ ‫درستی‬ ‫پیاده‬ ‫سازی‬‫ نشده‬ ‫و‬ ‫سبب‬ ‫دسترسی‬ ‫مهاجمین‬ ‫به‬ ‫توکن‬ ‫های‬‫احرازهویت‬ ‫و‬ ‫ربایش‬‫ موقت‬ ‫یا‬ ‫دائمی‬ ‫هویت‬ ‫سایر‬ ‫کاربران‬ ‫با‬ ‫استفاده‬ ‫از‬ ‫نقایص‬ ‫این‬ ‫مکانیزم‬ ‫ها‬‫می‬ ‫شوند‪.‬‬ ‫نقض‬ ‫توانایی‬ ‫سیستم‬ ‫در‬ ‫شناسایی ‬‫کلاینت‬ ‫یا‬ ‫کاربر‪،‬‬ ‫منجر‬ ‫به‬ ‫نقض‬ ‫امنیت‬ ‫‪API‬‬ ‫خواهد‬ ‫شد‬ ‫‪.‬‬ ‫با‬‫بکارگیری‬ ‫سرویس‬ ‫های ‬‫عمومی‬ ‫‪API‬‬ ‫‪،‬‬‫توسعه‬ ‫دهندگان‬ ‫عمال‬ ‫تمامی‬ ‫ویژگی‬ ‫های‬‫ اشیا‬ ‫را‬ ‫بدون‬ ‫درنظر‬ ‫گرفتن‬ ‫حساسیت ‬‫تک‬ ‫تک‬ ‫آنها‬ ‫و‬ ‫صرفا‬ ‫با‬ ‫تکیه‬ ‫بر‬ ‫فیلترینگ‬ ‫داده‬ ‫پیش‬ ‫از‬ ‫نمایش‬ ‫به‬ ‫کاربر‪،‬‬ ‫توسط‬ ‫کالینت‪،‬‬ ‫در‬ ‫معرض‬ ‫دید‬ ‫عموم‬‫ قرار‬ ‫می‬ ‫دهند‪.‬‬ ‫معمولا ‬‫‪API‬‬ ‫ها‬‫هیچ‬ ‫محد‬ ‫ودیتی‬‫ بر‬ ‫اندازه‬ ‫یا‬ ‫تعداد‬ ‫منابع‬ ‫درخواستی‬ ‫توسط‬ ‫کلاینت‬ ‫یا‬ ‫کاربر‬ ‫اعمال‬ ‫نمی‬ ‫نمایند‪.‬‬‫این‬ ‫موضوع ‬‫نه‬ ‫تنها‬ ‫با‬ ‫تاثیرگذاری‬ ‫منفی‬ ‫بر‬ ‫عملکرد‬ ‫سرور‬ ‫‪API‬‬ ‫می‬ ‫تواند‬‫منجر‬ ‫به‬ ‫حمله‬ ‫رد‬ ‫سرویس‬ ‫(‬ ‫‪DoS‬‬‫)‬‫شود‪،‬‬ ‫بلکه‬ ‫در‬‫را‬ ‫برای‬ ‫نقض‬ ‫احرازهویت‬ ‫از‬ ‫طریق‬ ‫حمالتی‬ ‫نظیر‬ ‫‪Force‬‬ ‫‪Brute‬‬ ‫نیز‬ ‫باز‬ ‫می‬ ‫گذارد‬‫‪.‬‬ ‫مکانیزم‬‫های ‬‫پیچیده‬ ‫کنترل‬ ‫دسترسی‬ ‫با‬ ‫سلسله‬ ‫مراتب‪،‬‬ ‫گروه‬ ‫ها‬‫و‬ ‫نقش‬ ‫های‬‫ متفاوت‬ ‫و‬ ‫مرز‬ ‫نامشخص‬ ‫بین‬ ‫توابع‬ ‫عادی‬‫ و‬ ‫مدیریتی‬ ‫سبب‬ ‫بروز‬ ‫نقایص‬ ‫مجوزدهی‬ ‫می‬ ‫شوند‪.‬‬‫با‬ ‫بهره‬ ‫برداری‬ ‫از‬ ‫این‬ ‫آسیب‬ ‫پذیری‬‫ها‬‫مهاجمین‬ ‫به‬ ‫منابع‬ ‫سایر‬‫کاربران‬ ‫و‬ ‫یا‬ ‫توابع‬ ‫مدیریتی‬ ‫دست‬ ‫خواهند‬ ‫یافت‪.‬‬ ‫پیوند‬‫دادن‬ ‫داده‬ ‫ارائه‬ ‫شده‬ ‫توسط‬ ‫کلاینت‬ ‫(نظیر‬ ‫اشیا‬ ‫‪JSON‬‬ ‫)‬‫با‬ ‫مدل‬ ‫های‬‫داده‬ ‫بدون‬ ‫فیلترکردن‬ ‫مناسب‬ ‫آنها‬ ‫بر‬ ‫مبنای ‬‫یک‬ ‫لیست‬ ‫سفید‬ ‫می‬ ‫تواند‬‫منجر‬ ‫به‬ ‫تخصیص‬ ‫جمعی‬ ‫شود‪.‬‬ ‫با‬ ‫تشخیص‬ ‫ویژگی‬ ‫های‬‫اشیا‪،‬‬ ‫کاوش‬ ‫سایر‬ ‫توابع‪،‬‬ ‫خواندن‬‫ مستندات‬ ‫یا‬ ‫ارائه‬ ‫ویژگی‬ ‫های‬‫اضافی‬ ‫بر‬ ‫ای‬‫اشیا‬ ‫در‬ ‫بدنه‬ ‫درخواست‬ ‫ها‪،‬‬‫مهاجم‬ ‫می‬ ‫تواند‬‫ویژگی‬ ‫هایی ‬‫از‬ ‫اشیا‬ ‫که ‬‫برای‬ ‫وی‬ ‫مجاز‬ ‫نیست‬ ‫را‬ ‫دستکاری‬ ‫نماید‪.‬‬ ‫پیکربندی‬‫امنیتی‬ ‫نادرست‬ ‫پیامدی‬ ‫از‬ ‫بکارگیری‬ ‫پیکربندی‬ ‫ناایمن‬ ‫پیشفرض‪،‬‬ ‫پیکربندی‬ ‫ناقص‬ ‫یا‬ ‫غیرمتمرکز‪،‬‬ ‫فضای‬ ‫ذخیره‬‫ سازی‬ ‫ابری‬ ‫باز‬ ‫و‬ ‫م‬ ‫حفاظت‬‫ نشده‪،‬‬ ‫سرایندهای‬ ‫‪HTTP‬‬ ‫با‬ ‫پیکربندی‬ ‫نادرست‪،‬‬ ‫متدهای‬ ‫غیرضروری‬ ‫‪HTTP‬‬ ‫‪،‬‬ ‫خط ‬‫مشی‬ ‫های ‬‫سهل‬ ‫انگارانه‬ ‫برای‬ ‫اشتراک‬ ‫گذاری‬ ‫منابع‬ ‫متقابل‬ ‫(‬ ‫‪CORS‬‬‫)‬‫و‬ ‫پیامهای‬ ‫خطای‬ ‫تفصیلی‬ ‫و‬ ‫مشروح‬ ‫می‬‫باشد‪.‬‬ ‫آسیب ‬‫پذیری‬‫های‬‫ مبتنی‬ ‫بر‬ ‫تزریق‬ ‫نظیر‬ ‫‪SQL‬‬ ‫‪،‬‬‫‪NoSQL‬‬ ‫‪،‬‬‫تزریق‬ ‫دستور‬ ‫و‬ ‫‪...‬‬ ‫زمانی‬ ‫رخ‬ ‫می‬ ‫دهند‬‫که‬ ‫داده‬ ‫ی‬‫ نامطمئن‬ ‫بعنوان ‬‫بخشی‬ ‫از‬ ‫یک‬ ‫دستور‬ ‫یا‬ ‫پرس‬ ‫و‬ ‫جو‬ ‫به‬ ‫مفسر‬ ‫تحویل‬ ‫داده‬ ‫شود‪.‬‬ ‫این‬ ‫داده‬ ‫مخرب‬ ‫می‬ ‫تواند‬‫مفسر‬ ‫را‬ ‫وادار‬ ‫به‬ ‫اجرای ‬‫دستوری‬ ‫ناخواسته‬ ‫یا‬ ‫دسترسی‬ ‫غیرمجاز‬ ‫به‬ ‫داده‬ ‫ها‬‫نما‬ ‫ید‪.‬‬ ‫‪API‬‬‫ها‬‫معموال‬ ‫توابع‬ ‫بیشتری‬ ‫را‬ ‫نسبت‬ ‫به‬ ‫وب‬ ‫اپلیکیشن‬ ‫های ‬‫سنتی‬ ‫در‬ ‫معرض‬ ‫دید‬ ‫قرار‬ ‫می‬ ‫دهند‬‫که‬ ‫این‬ ‫موضوع‬ ‫اهمیت‬‫ مستندسازی‬ ‫مناسب‬ ‫و‬ ‫بروز‬ ‫را‬ ‫دوچندان‬ ‫می‬ ‫نماید‪.‬‬‫داشتن‬ ‫فهرستی‬ ‫از‬ ‫میزبان‬ ‫ها‬‫و‬ ‫نسخه‬ ‫های ‬‫بکارگرفته‬ ‫شده‬ ‫‪API‬‬‫نقش‬ ‫مهمی‬ ‫در‬ ‫رفع‬ ‫آسیب‬ ‫پذیری‬‫های‬‫مرتبط‬ ‫با‬ ‫نسخ‬ ‫قدیمی‬ ‫‪API‬‬ ‫و‬ ‫توابع‬ ‫مرتبط‬ ‫با‬ ‫‪debugging‬‬ ‫ایفا‬ ‫می‬ ‫کند‬ ‫پایش‬‫و‬ ‫نظارت‬ ‫ناکافی‬ ‫در‬ ‫کنار‬ ‫عدم‬ ‫وجود‬ ‫فرایند‬ ‫پاسخ‬ ‫دهی‬ ‫به‬ ‫وقایع‬ ‫‪2‬‬‫یا‬ ‫پیاده‬ ‫سازی ‬‫ناقص‬ ‫آن‬ ‫به‬ ‫مهاجم‬ ‫امکان‬ ‫تثبیت‬‫ دسترسی‪،‬‬ ‫حمله‬ ‫به‬ ‫سایر‬ ‫سیستم‬ ‫ها‬‫و‬ ‫استخراج‪/‬نابودسازی‬ ‫داده‬ ‫ها‬‫را‬ ‫می‬ ‫دهد‪.‬‬‫مطالعات‬ ‫انجام‬ ‫شده‬ ‫بیانگر‬ ‫آن‬ ‫است‬‫ که‬ ‫زمان‬ ‫آگاهی‬ ‫یافتن‬ ‫از‬ ‫نفوذ‬ ‫انجام‬ ‫شده‬ ‫به‬ ‫طور‬ ‫میانگین‬ ‫بیش‬ ‫از‬ ‫‪200‬‬ ‫روز‬ ‫پس‬ ‫از‬ ‫انجام‬ ‫نفوذ‬ ‫بوده‬ ‫و‬ ‫تشخیص‬ ‫آن‬‫ نیز‬ ‫بجای‬ ‫آنکه‬ ‫توسط‬ ‫فرایندهای‬ ‫درونی‬ ‫پایش‬ ‫و‬ ‫نظارت‬ ‫باشد‬ ‫توسط‬ ‫شرکت‬ ‫های ‬‫ثالث‬ ‫صورت‬ ‫می‬ ‫پذیرد‪.‬‬ ‫‪