Las API vulnerables amenazan con hundir la reputación de las empresas

En la vida, por lo general, la comunicación es algo excelente. No hay forma más rápida de llegar a un entendimiento, aprender algo nuevo o construir una relación. En el ámbito del software, las API cumplen una función comunicativa que permite a las aplicaciones interactuar entre sí, mejorando sus funciones y usabilidad. Esa conectividad suele crear una experiencia más rica que a los usuarios finales les encanta y que, cada vez más, esperan del software en su vida cotidiana.

Sin embargo, al igual que en la vida real, es un gran problema cuando hablan demasiado. Experian lo descubrió recientemente por las malas, cuando una de sus API, utilizada por un socio externo, posiblemente filtró los puntajes de crédito de... bueno, prácticamente todos los ciudadanos estadounidenses.

El problema se solucionó rápidamente, pero sigue existiendo la duda de si esta vulnerabilidad fue realmente neutralizada. Si un proveedor se vio afectado, es muy probable que otros también lo hayan sido, y existe la posibilidad de que se trate de un error sistémico que afecte a cualquiera que utilice esa API insegura.

La seguridad de las API es una preocupación constante para la mayoría de los expertos en seguridad, y es un ámbito en el que debemos adquirir los conocimientos necesarios para defendernos.

Cualquier aficionado puede eludir una autenticación de API deficiente

Una característica común de muchas filtraciones de datos, brechas e incidentes de seguridad es que rara vez requieren de una mente maestra para llevarse a cabo. Los ataques complejos, insidiosos y dañinos como el de SolarWinds requieren equipos de genios del cibercrimen, pero son la excepción y no la regla.

Cuando una API se construye con una autenticación débil, es bastante fácil explotarla. Bill Demirkapi, el investigador de seguridad que descubrió el error en la API de Experian, determinó que se podía acceder a ella sin ninguna autenticación. Ingresar 00/00/0000 en el campo de fecha de nacimiento le otorgó acceso al puntaje de crédito de una persona, utilizando solo información pública como el nombre y la dirección postal asociada. Aunque no se ha reportado, el potencial de que estos registros sean extraídos y contextualizados como una base de datos de crédito (y, por lo tanto, valiosa) es real.

Se deben implementar procesos de autenticación limpios y funcionales sin importar cuán pequeño sea el caso de uso; una API parlanchina que no esté debidamente protegida y que potencialmente abra el acceso a múltiples sistemas es un riesgo.

La autenticación rota ocupa el segundo lugar en la lista de vulnerabilidades del Top 10 de API de OWASP. Lee más aquí sobre cómo evitar este error y pon a prueba tus habilidades en nuestra plataforma una vez que hayas terminado de nutrir tu mente.

Los controles de seguridad deficientes en las API son un problema generalizado que requiere un cambio cultural

No es justo señalar únicamente a organizaciones como Experian, pero la falta de matices y diligencia en el control de seguridad mostrada en esta exposición de API en particular no es un buen augurio para las muchas empresas que utilizan API como parte de sus sistemas y puntos finales de TI.

En general, tenemos mucho trabajo por hacer, no solo para encontrar y corregir vulnerabilidades en las API, sino para entenderlas como parte de la superficie de ataque que debemos proteger. La visibilidad sobre las API, y cómo han sido construidas, es una gran preocupación y algo que debería exigirse como parte de las mejores prácticas de seguridad. Incluso una organización con las medidas de seguridad más estrictas puede verse comprometida por una API que se publica y funciona fuera de los controles de seguridad de la empresa. Es más importante que nunca preguntar de dónde proviene una API, quién la mantiene finalmente (¿es un proveedor externo? ¿Qué tan estrictos son con la seguridad?) y a qué información está accediendo.

Las vulnerabilidades de inyección siguen siendo un lastre para todo CISO.

La seguridad de las API puede parecer un módulo bastante nuevo para incluir en un programa de seguridad, pero puede ser explotado por algunos trucos (muy) antiguos que estamos acostumbrados a ver en el software web convencional.

Un ataque recientemente revelado contra Accellion demostró que los ataques encadenados de inyección SQL y ejecución de comandos del SO permitieron a los actores de amenazas manipular las API, extrayendo una cantidad significativa de datos confidenciales, incluidos números de Seguro Social. Determinaron que los atacantes debían tener un amplio conocimiento del software FTA de Accellion para llevar a cabo el robo, lo cual habría sido posible mediante una ingeniería inversa sustancial.

Dado que la brecha ocurrió entre diciembre de 2020 y enero de 2021, los ladrones tuvieron mucho tiempo para causar daños. Otros descubrimientos en febrero de 2021 revelaron una vulnerabilidad XSS almacenada, y el análisis forense determinó que el hecho de que un solo punto final de API no desinfectara adecuadamente la entrada del usuario hizo posible inyectar un argumento al llamar al script admin.pl.

Con más de 3000 clientes, incluidas muchas instituciones educativas prestigiosas, esta brecha podría tener un alcance enorme. La desafortunada realidad es que estas vulnerabilidades fueron posibles al aprovechar fallos comunes, muchos de los cuales podrían haberse solucionado a nivel de código, antes de la producción, por parte de un desarrollador consciente de la seguridad. Como vemos una y otra vez, solo hace falta una pequeña ventana abierta para crear grandes problemas. Y una cultura de defensa cibernética liderada por humanos debe ser parte de la estrategia para resolver un problema muy humano.

¿Quieres poner a prueba tus habilidades de seguridad de API ahora en Java Spring API, Kotlin Spring API, C# (.NET) Web API y más? Prueba algunos desafíos de API en nuestra plataforma de aprendizaje (consulta todos los lenguajes y marcos a través del menú desplegable):
‍

‍