Seguridad de la API web

En el método de cadenas estáticas, quien llama a la API o el cliente inserta una cadena como token en la solicitud. Este método se conoce comúnmente como autenticación básica. ^{[ 3 ]} "Desde el punto de vista de la seguridad, la autenticación básica no es muy satisfactoria. Implica enviar la contraseña del usuario a través de la red en texto plano para cada página a la que se accede (a menos que se utilice un protocolo seguro de nivel inferior, como SSL , para cifrar todas las transacciones). Por lo tanto, el usuario es muy vulnerable a cualquier analizador de paquetes en la red." ^{[ 4 ]}

Cuando una API está protegida por un token dinámico, se inserta un nonce basado en el tiempo en el token. El token tiene un tiempo de vida (TTL) después del cual el cliente debe obtener un nuevo token. El método de la API tiene un algoritmo de verificación de tiempo y, si el token ha caducado, la solicitud se prohíbe. "Un ejemplo de dicho token es JSON Web Token . La declaración "exp" (tiempo de expiración) identifica el tiempo de expiración a partir del cual el JWT NO DEBE aceptarse para su procesamiento." ^{[ 5 ]}

Este tipo de token se utiliza en sistemas de tres patas donde una aplicación necesita acceder a una API en nombre de un usuario. En lugar de revelar el ID de usuario y la contraseña a la aplicación, el usuario otorga un token que encapsula su permiso para que la aplicación invoque la API.

El marco de autorización OAuth 2.0 permite que una aplicación de terceros obtenga acceso limitado a un servicio HTTP , ya sea en nombre del propietario del recurso mediante la orquestación de una interacción de aprobación entre el propietario del recurso y el servicio HTTP, o permitiendo que la aplicación de terceros obtenga acceso en su propio nombre. ^{[ 6 ]}

En este enfoque, existe un Punto de Aplicación de Políticas, ya sea dentro de la propia API, en el marco de la API (como interceptor o gestor de mensajes) o como una puerta de enlace de API (por ejemplo, WSO2 , Kong, Tyk o similar ), que intercepta la llamada a la API y/o la respuesta de la misma. La convierte en una solicitud de autorización (normalmente en XACML) que envía a un Punto de Decisión de Políticas (PDP). El Punto de Decisión de Políticas se configura con políticas que implementan un control de acceso dinámico que puede utilizar cualquier número de atributos de usuario, recurso, acción y contexto para definir qué acceso está permitido o denegado. Las políticas pueden tratar sobre:

1. el recurso (por ejemplo, una cuenta bancaria)
2. el usuario (por ejemplo, un cliente)
3. el contexto (por ejemplo, la hora del día)
4. una relación (por ejemplo, el cliente al que pertenece la cuenta).

Las políticas se expresan en ALFA o XACML.