Sécuriser les API : mission impossible ?

Les cyberattaques sont, sans aucun doute, en augmentation. Selon le rapport 2021 Data Breach Investigations de Verizon, le paysage des menaces est plus dangereux aujourd'hui que jamais. Les organisations de toutes tailles font face à un volume croissant d'attaques et à une sophistication accrue des acteurs malveillants qui les ciblent. Et les taux de réussite des attaquants montent également en flèche.

L'analyse des attaques les plus récentes permet de révéler certaines des vulnérabilités et techniques les plus courantes utilisées par les pirates lors de cette offensive sans précédent contre les cyberdéfenses. Certaines des attaques les plus populaires, comme celles figurant dans le Top 10 des risques et vulnérabilités de sécurité pour 2021 de l'Open Web Application Security Project (OWASP), impliquaient le vol ou la compromission d'identifiants. Et selon les recherches en sécurité menées par Akamai, la grande majorité, près de 75 %, ciblait directement les identifiants détenus par les API.

L'essor et la possible ruine des API

Il n'est pas étonnant que les interfaces de programmation d'applications, plus communément appelées API, soient en plein essor au sein des réseaux de presque toutes les organisations. Elles constituent un élément essentiel de la plupart des services basés sur le cloud, qui remplacent rapidement les fonctions des actifs sur site dans la plupart des entreprises, organisations et agences gouvernementales. Il est aujourd'hui presque impossible de mener une activité ou une tâche sans le cloud, surtout pour les services destinés au public. Cela signifie que les API seront certainement le ciment qui maintient un grand nombre de services ensemble dans chaque réseau.

Ce qui est incroyable avec les API, c'est qu'elles sont pour la plupart petites et discrètes en termes d'allocation de ressources réseau. Elles sont également totalement flexibles, ce qui leur permet d'être chargées d'effectuer presque n'importe quelle tâche. À la base, les API sont des éléments logiciels individuels conçus pour contrôler ou gérer un programme particulier. Elles peuvent être utilisées pour effectuer des fonctions très spécifiques, comme l'accès aux données d'un système d'exploitation hôte, d'une application ou d'un service.

Malheureusement, c'est cette même flexibilité, ainsi que le fait qu'elles soient souvent petites et négligées par les équipes de sécurité, qui font des API des cibles attrayantes. La plupart des API sont conçues par des développeurs pour une flexibilité totale afin qu'elles puissent, par exemple, continuer à fonctionner même si le programme principal qu'elles gèrent est modifié. Et il existe peu de normes. Presque comme des flocons de neige, de nombreuses API sont uniques car elles sont créées pour remplir une fonction particulière avec un seul programme sur un réseau spécifique. Si elles sont codées par des développeurs peu sensibilisés à la sécurité, ou qui ne se concentrent pas spécifiquement sur celle-ci, elles peuvent et auront probablement un certain nombre de vulnérabilités que les attaquants peuvent trouver et exploiter.

Malheureusement, le problème devient rapidement incontrôlable. Selon Gartner, d'ici 2022, les vulnérabilités impliquant des API deviendront le vecteur d'attaque le plus fréquent dans toutes les catégories de cybersécurité.

La raison principale pour laquelle les attaquants cherchent à compromettre les API n'est pas de prendre le contrôle de la fonction spécifique qu'elles assurent, mais plutôt de voler les identifiants qui y sont associés. L'un des plus gros problèmes des API, en plus d'être truffées de vulnérabilités, est qu'elles sont souvent dotées de privilèges excessifs par rapport à leur fonctionnalité principale. Par souci de simplicité, la plupart des API disposent d'un accès quasi administrateur sur un réseau. Si un attaquant en prend le contrôle, il peut souvent utiliser ses permissions pour lancer des incursions plus profondes et plus importantes dans un réseau. Et comme l'API a la permission d'effectuer les tâches vers lesquelles l'attaquant la redirige, ses actions peuvent souvent contourner la surveillance de cybersécurité traditionnelle, car l'API ne transgresse aucune règle grâce à son accès total en coulisses.

Si les organisations ne sont pas vigilantes, l'essor des API au sein de leurs réseaux et de leurs clouds peut également entraîner de graves problèmes si elles sont ciblées par des attaquants.

Défendre les API

Aussi dangereuse que devienne la situation avec les API, elle est loin d'être désespérée. Il existe un effort important à travers des mouvements comme DevSecOps pour aider à sensibiliser davantage les développeurs à la sécurité, et pour intégrer la sécurité et les meilleures pratiques dans tous les aspects de la création logicielle, du développement aux tests et au déploiement. Inclure la sécurité des API dans cette formation sera essentiel pour toute organisation souhaitant inverser la tendance de l'exploitation des API en 2022 et au-delà.

Cela dit, il existe quelques très bonnes pratiques qui peuvent être mises en œuvre dès maintenant en matière de sécurité des API.

La première chose à faire est d'inclure des contrôles d'identité stricts pour toutes les API. Vous devriez presque les considérer comme des utilisateurs humains lors de l'attribution des permissions. Même si une API n'est conçue que pour une fonction spécifique, vous devez réfléchir à ce qui pourrait arriver si un attaquant parvenait à la compromettre. Envisagez d'utiliser le contrôle d'accès basé sur les rôles. Idéalement, vous devriez appliquer les principes du "zero trust" à vos API et utilisateurs, mais c'est souvent un long chemin. Une bonne gestion des identités est un bon point de départ. Assurez-vous simplement d'inclure les API dans ce programme.

Vous devez également contrôler étroitement, autant que possible, les divers appels effectués par vos API. Si vous limitez ces appels à des requêtes très contextuelles, il sera beaucoup plus difficile pour un attaquant de les modifier à des fins malveillantes. Vous pouvez même superposer vos API, avec une API initiale effectuant un appel hautement contextuel vers une autre API qui sait exactement quoi chercher et quoi ignorer. Cela peut être un moyen efficace de limiter les fonctionnalités disponibles pour un acteur malveillant, même s'il parvient à exploiter et à compromettre une API au sein de cette chaîne.

Les menaces pesant sur les API peuvent sembler insurmontables. Mais en mettant en œuvre les meilleures pratiques et en soutenant et récompensant les développeurs qui deviennent des champions de la sécurité, la situation peut sembler beaucoup moins désespérée. Avec une bonne formation et une bonne pratique, vous pouvez mettre en place un programme de sécurité robuste qui laisse peu de marge de manœuvre aux attaquants, même s'ils parvenaient à compromettre l'un de vos petits mais essentiels chevaux de bataille que sont les API.