Undichte APIs drohen den Ruf von Unternehmen ins Meer zu spülen

Kommunikation ist im Leben generell eine großartige Sache. Es gibt keinen schnelleren Weg, um zu einer Einigung zu kommen, etwas Neues zu lernen oder eine Beziehung aufzubauen. Im Softwarebereich erfüllen APIs einen kommunikativen Zweck: Sie ermöglichen es Anwendungen, miteinander zu sprechen, was Funktionen und Benutzerfreundlichkeit verbessert. Diese Konnektivität schafft oft ein reichhaltigeres Erlebnis, das Endnutzer lieben und das sie zunehmend von der Software in ihrem Alltag erwarten.

Doch wie im echten Leben ist es ein großes Problem, wenn sie zu viel reden. Experian hat dies kürzlich auf die harte Tour erfahren, als eine ihrer APIs – die von einem Drittanbieter genutzt wurde – möglicherweise die Kredit-Scores von… nun ja, so gut wie jedem amerikanischen Bürger preisgab.

Das Problem wurde schnell behoben, aber es bleibt die Frage, ob diese Schwachstelle wirklich gestoppt wurde. Wenn ein Anbieter betroffen war, stehen die Chancen gut, dass auch andere betroffen sind, und es besteht die Möglichkeit, dass es sich um einen systemischen Fehler handelt, der jeden betrifft, der diese unsichere API nutzt.

API-Sicherheit beschäftigt die meisten Sicherheitsexperten intensiv, und wir müssen uns das nötige Wissen aneignen, um dieser Herausforderung zu begegnen.

Jeder ambitionierte Geek kann eine mangelhafte API-Authentifizierung umgehen

Ein Merkmal vieler Datenlecks, Sicherheitsverletzungen und Vorfälle ist, dass sie selten ein Superhirn erfordern. Komplexe, heimtückische und schädliche Angriffe, wie wir sie bei SolarWinds gesehen haben, erfordern zwar Teams aus kriminellen Genies, doch sie sind eher die Ausnahme als die Regel.

Wenn eine API mit schwacher Authentifizierung erstellt wird, ist sie recht einfach auszunutzen. Bill Demirkapi, der Sicherheitsforscher, der den API-Fehler bei Experian entdeckte, stellte fest, dass der Zugriff ohne jegliche Authentifizierung möglich war. Die Eingabe von 00/00/0000 im Feld für das Geburtsdatum gewährte ihm Zugriff auf den Kredit-Score einer Person, wobei nur öffentlich verfügbare Informationen wie Name und Postanschrift verwendet wurden. Obwohl dies nicht gemeldet wurde, besteht durchaus das Potenzial, dass diese Datensätze gescrapt und als wertvoller, kreditbezogener Datensatz kontextualisiert werden.

Saubere und funktionale Authentifizierungsprozesse sollten unabhängig von der Größe des Anwendungsfalls vorhanden sein; eine geschwätzige API, die nicht ordnungsgemäß gesichert ist und möglicherweise den Zugriff auf mehrere Systeme öffnet, ist ein Haftungsrisiko.

Broken Authentication steht auf Platz zwei der OWASP Top 10 API-Schwachstellenliste. Lesen Sie hier mehr darüber, wie Sie diesen Fehler vermeiden können, und testen Sie Ihre Fähigkeiten auf unserer Plattform, sobald Sie Ihr Wissen aufgefrischt haben.

Mangelhafte API-Sicherheitskontrollen sind ein weit verbreitetes Problem, das einen kulturellen Wandel erfordert

Es ist nicht fair, nur mit dem Finger auf Organisationen wie Experian zu zeigen, aber der Mangel an Nuancen und Sorgfalt bei der Sicherheitskontrolle, der bei dieser speziellen API-Offenlegung an den Tag gelegt wurde, verheißt nichts Gutes für die vielen Unternehmen, die APIs als Teil ihrer IT-Systeme und Endpunkte nutzen.

Im Allgemeinen haben wir noch viel Arbeit vor uns – nicht nur beim Finden und Beheben von API-Schwachstellen, sondern auch dabei, sie als Teil der Angriffsfläche zu verstehen, die wir schützen müssen. Die Sichtbarkeit von APIs – und wie sie aufgebaut wurden – ist ein großes Anliegen und sollte als Teil der Sicherheits-Best-Practices gefordert werden. Selbst eine Organisation mit den strengsten Sicherheitsmaßnahmen kann durch eine API gefährdet werden, die außerhalb der Unternehmenskontrollen veröffentlicht wurde und arbeitet. Es ist wichtiger denn je zu fragen, woher eine API stammt, wer sie letztendlich wartet (ist es ein Drittanbieter? Wie streng sind deren Sicherheitsvorgaben?) und auf welche Informationen sie zugreift.

Injection-Schwachstellen bleiben für jeden CISO ein hartnäckiges Problem.

API-Sicherheit mag wie ein recht neues Modul in einem Sicherheitsprogramm erscheinen, aber sie kann durch einige (sehr) alte Tricks ausgenutzt werden, die wir aus herkömmlicher Websoftware kennen.

Ein kürzlich bekannt gewordener Angriff auf Accellion enthüllte, dass verkettete SQL-Injection- und OS-Command-Execution-Angriffe es den Akteuren ermöglichten, APIs zu manipulieren und eine beträchtliche Menge sensibler Daten, einschließlich Sozialversicherungsnummern, zu extrahieren. Sie stellten fest, dass die Angreifer über umfassende Kenntnisse der FTA-Software von Accellion verfügen mussten, um den Raub durchzuführen, was durch umfangreiches Reverse Engineering möglich gewesen wäre.

Da der Einbruch zwischen Dezember 2020 und Januar 2021 stattfand, hatten die Diebe reichlich Zeit, Schaden anzurichten. Weitere Entdeckungen im Februar 2021 enthüllten eine gespeicherte XSS-Schwachstelle, wobei die forensische Analyse ergab, dass nur ein einziger API-Endpunkt, der Benutzereingaben nicht ordnungsgemäß bereinigte, es ermöglichte, beim Aufruf des admin.pl-Skripts ein Argument einzuschleusen.

Mit über 3000 Kunden, darunter viele renommierte Bildungseinrichtungen, könnte dieser Vorfall weitreichende Folgen haben. Das Unglückliche ist, dass diese Exploits durch die Nutzung bekannter Schwachstellen ermöglicht wurden, von denen viele auf Code-Ebene vor der Produktion von einem sicherheitsbewussten Entwickler hätten behoben werden können. Wie wir immer wieder sehen, reicht ein kleiner Spalt aus, um große Probleme zu verursachen. Eine Kultur der menschlich geführten Cyber-Abwehr muss Teil der Strategie sein, um ein sehr menschliches Problem zu lösen.

Möchten Sie Ihre API-Sicherheitsfähigkeiten jetzt in Java Spring API, Kotlin Spring API, C# (.NET) Web API und mehr testen? Probieren Sie einige API-Herausforderungen auf unserer Lernplattform aus (alle Sprachen/Frameworks finden Sie im Dropdown-Menü):
‍

‍