移动应用中API安全的潜在风险 - Treblle博客
作为一名应用程序在API安全方面的潜在风险。相比无状态API安全的主要风险，并提供一些应对措施。
“银行级安全”是否真的安全？
当提到银行网站和应用程序时，人们通常会联想到“银行级安全”，并对其安全性抱有很高的期望。然而，实际情况却不尽如人意。以下是一些常见的安全问题：
- 几乎所有（55个中的54个）移动应用程序都包含硬编码的API密钥。
- 所有应用程序都容易受到“中间人”（PITM）攻击。
- 所有应用程序都存在破坏对象级授权（BOLA）攻击的风险。
- 其他身份验证漏洞也普遍存在。
接下来，我们将逐一分析这些问题的根源及其解决方法。
硬编码API密钥的风险
在传统的服务器端应用中，API密钥通常存储在服务器上，用户无法直接访问这些密钥。用户通过会话cookie进行身份验证和授权，所有的API交互都在服务器端完成，从而避免了密钥泄露的风险。
相比之下，SPA通过头部令牌与API交互，令牌由服务器生成并与API共享。即使需要与第三方API交互，SPA也可以通过代理服务器保护密钥。然而，移动应用程序的运行环境与上述情况不同：
- 移动应用程序在用户设备上独立运行，而非受控的服务器或浏览器环境。
- 开发者往往会将密钥硬编码到应用程序中，以便与API交互。
这种做法存在严重的安全隐患。攻击者可以通过工具（如“strings”工具）从编译后的应用程序中提取密钥。研究表明，超过四分之三的移动应用程序包含有效的AWS访问令牌，其中近一半的令牌允许访问私人文件。
解决方案
- 避免在应用程序中硬编码API密钥。
- 使用后端代理服务器处理API请求，确保密钥仅存储在服务器端。
- 实施动态密钥生成机制，减少密钥泄露的风险。
拦截请求的威胁
研究表明，所有测试的移动应用程序都容易受到“中间人”（PITM）攻击。这种攻击允许攻击者拦截并解密应用程序与API之间的通信，带来以下风险：
- 攻击者可以提取API密钥并映射API结构，从而执行进一步的攻击。
- 在未受保护的网络中，攻击者可以拦截用户请求，窃取敏感信息或伪造请求，甚至转移资金。
解决方案
- **使用API请求使用HTTPS，并配置与API主机名匹配的有效证书。
- 启用证书验证：避免在开发和测试阶段禁用证书验证。
- 请求校验：对API请求的有效负载进行校验和验证，确保请求未被篡改。
- 时间戳和到期机制：在API请求中包含时间戳和到期记录，防止重放攻击。
身份验证和授权的常见问题
身份验证和授权失败是OWASP API安全前10名中，有4项与此问题直接相关：
- API1:2023 – 对象级授权中断
- API2:2023 – 身份验证失败
- API3:2023 – 属性级授权中断
- API5:2023 – 功能级授权中断
此外，OWASP Web应用程序安全前10名中也包含类似问题，如访问控制中断和身份验证失败。
解决方案
- 使用可靠的身份验证和授权框架，确保用户身份和权限的正确性。
- 在业务逻辑中明确检查用户是否有权访问特定资源。
- 定期进行安全测试，发现并修复潜在的漏洞。
如何避免这些漏洞
尽管开发者的目标是编写安全的代码，但实际开发中难免会忽视一些细微的安全问题。因此，采取以下措施至关重要：
- 使用安全工具：利用API安全工具检测和修复漏洞。
- 代码审查：定期进行代码审查，确保遵循安全最佳实践。
- 安全培训：为开发团队提供API安全相关的培训，提高安全意识。
总结
移动应用程序的安全性挑战在于其运行环境的开放性。用户可以完全控制移动应用程序，从而间接控制API。因此，开发者需要确保移动应用程序的功能和权限严格受控，避免因安全漏洞导致数据泄露或其他风险。
通过采取多层次的安全措施，如避免硬编码密钥、启用HTTPS、加强身份验证和授权等，可以显著提升移动应用程序的API安全性。始终记住，安全是一个持续的过程，需要不断优化和改进。
原文链接: https://blog.treblle.com/hidden-dangers-api-security-mobile-apps/