REST-APIs und Anwendungssicherheit

Name: REST-APIs und Anwendungssicherheit
Author: Josh Guardino

Sieerfahren, wie Sie REST-APIs sichern und schützen können

Preview the first lesson free — get full access to all 3 lessons.

Kurs: On-Demand

Hallo, mein Name ist Josh Guardino und in diesen Lektionen, Sie erfahren mehr über die REST-API-Sicherheit. Beginnen wir mit der Erkundung der API-Schlüssel und Zugriffsverwaltung. Es gibt mehrere Möglichkeiten, eine REST-API zu sichern. Obwohl einige REST-APIs offen sind und für jedermann zugänglich, die überwiegende Mehrheit der REST-APIs eine gewisse Sicherheit haben um die Authentifizierung zu regeln und möglicherweise die Genehmigung für Kunden der API. Ein beliebtes Muster ist die Verwendung von API-Schlüsseln. Ein API-Schlüssel ist einfach eine zufällig generierte System-ID mit entsprechendem Passwort aber die ID wird als API-Schlüssel bezeichnet und das Passwort wird normalerweise als Geheimnis bezeichnet. API-Anbieter, die API-Schlüssel unterstützen, stellen einen Mechanismus bereit mit dem jemand einen API-Schlüssel anfordern kann. Dieses Anfrageformular ist möglicherweise verfügbar an die breite Öffentlichkeit durch so etwas wie data.gov, die Daten-Clearingstelle der US-Regierung aber oft für kostenpflichtige Dienste, API-Schlüssel können nur angefordert werden durch registrierte und zahlende Kunden. API-Schlüssel-Anmeldeformulare bieten eine großartige Gelegenheit um vielfältige Informationen zu sammeln darüber, wie der Schlüssel verwendet wird, wie man die Besitzer des Schlüssels kontaktiert und jede andere Art von Registrierungsinformationen das wird als notwendig erachtet von den Eigentümern der API. Als Beispiel, Schauen wir uns die sehr beliebte Spotify for Developers API an. Nachdem Sie sich für ein Konto registriert haben, Ich kann eine App erstellen Das wäre ein Client der API und dieser App wird automatisch eine Client-ID zugewiesen oder API-Schlüssel und ein Client-Geheimnis, Das ist wie ein Passwort. Wenn API-Schlüssel zum ersten Mal zugewiesen werden, Das Geheimnis wird nur einmal gezeigt. Wenn das Geheimnis verloren geht, Der Schlüssel muss neu generiert werden. Allerdings erlaubt Spotify eine Rotation des Geheimnisses ohne die Client-ID oder den API-Schlüssel ändern zu müssen. Mit dem API-Schlüssel Ein Client der Spotify-API kann dann eine Anfrage erstellen um ein Zugriffstoken zu erhalten durch einen Prozess namens OAuth. In der Abteilung für Kraftfahrzeuge API, Ich habe eine Authentifizierungsprüfung hinzugefügt an alle API-Endpunkte das einen API-Schlüssel und ein Geheimnis erwartet in den Anforderungsheadern übergeben werden. Und es ist Standard, den x-api-Schlüssel zu verwenden und geheime Header-Namen um diese Werte zu speichern. Zum v1/Treiber-Post-Endpunkt: Fügen wir die Header x-api-key und x-api-secret hinzu und wir werden beide auf den Wert test setzen Dies sollte dazu führen, dass die Autorisierung der Anfrage fehlschlägt weil test und test kein gültiges Schlüssel-Geheimnis-Paar ist und ein 401-Unberechtigter-Statuscode wird zurückgegeben. Ich habe in der Anwendung auch ein JSON-Array erstellt mit mehreren zufällig generierten Schlüsseln und Geheimnissen. Und wie Sie sehen können, Jeder Schlüssel und jedes Geheimnis verfügt außerdem über eine Benutzer-E-Mail-Adresse und andere wichtige Felder würden normalerweise beibehalten zusammen mit dem Schlüssel und dem Geheimnis, wie zum Beispiel der Name des Kunden und vielleicht eine Beschreibung der beabsichtigten Nutzung der API durch den Kunden. Aber hier wird uns eine einfache Benutzer-E-Mail ermöglichen um den Schlüssel zu einem bestimmten Client zurückzuverfolgen. Wählen wir einen der Schlüssel aus und kehren Sie zu unserem v1/Treiber-Post-Endpunkt zurück und fügen Sie das als x-api-key-Header hinzu. Und wählen wir ein Geheimnis aus und fügen Sie es als x-api-secret-Header hinzu. Ich habe den x-api-key komplett in Kleinbuchstaben geschrieben und x-api-secret in Großbuchstaben nur um zu zeigen, dass der Fall ignoriert wird, also werden beide gut funktionieren. Und wenn wir nun diese Anfrage ausführen, Die Autorisierung ist erfolgreich und es wird eine 201 zurückgegeben. Eine letzte Anmerkung zum Schlüssel und das Geheimnis in den Überschriften. Dies ist die bevorzugte Art der Übermittlung des Schlüssels und geheim für den Server weil ich sie zur URL hinzufüge da Abfrageparameter sie verursachen würden im Klartext angezeigt werden in Serverzugriffsprotokollen die vollständige URLs eingehender Anfragen auflisten. Und die Werte platzieren im Anfragetext würde für Post-Anfragen funktionieren Aber Get-Anfragen haben beispielsweise keine Körper. Daher müsste ein alternativer Mechanismus verwendet werden für Get-Anfragen was zu einer Inkonsistenz in der Art und Weise führt bei dem Authentifizierungsparameter an den Server gesendet werden. Header sind also sicher und standardisierter Ort wohin diese Art von Informationen weitergegeben werden können. Danke fürs zuschauen. Seien Sie gespannt auf die nächste Lektion Hier zeige ich Ihnen, wie Sie das OAuth-Protokoll verwenden für REST-API-Sicherheit.

Anfänger Anbieter : Josh Guardino 3 Lektionen · 15m auf Arabisch, Deutsch, Englisch, Spanisch, Französisch, Portugiesisch, Chinese

Kursbeschreibung

Sicherheit sollte nie ein nachträglicher Gedanke sein, besonders wenn es um Netzwerkressourcen geht; und REST-APIs sind da keine Ausnahme. Es geht um mehr als nur den Schutz von Informationen: Es ist ein umfassender Ansatz, der auch die Verwaltung von Clients und den Schutz der Stabilität eines API-Dienstes einschließt.

Die Verwendung von API-Schlüsseln und -Geheimnissen ist ein weit verbreitetes Muster, das registrierten Clients Authentifizierungsfunktionen vom Typ Benutzer/Passwort gewährt. In diesen Lektionen lernen Sie, wie API-Schlüssel und -Geheimnisse generiert und an RESTful-API-Dienste gesendet werden, um Zugang zu erhalten, sowie die begleitenden HTTP-Statuscodes der 400er-Reihe, die entstehen, wenn Schlüssel und Geheimnisse nicht erkannt werden.

Das OAuth-Protokoll hat sich zum Standardmechanismus für die Autorisierung von API-Clients entwickelt. Sie lernen die Grundlagen von OAuth kennen und erfahren, wie grundlegende Authentifizierungsanfragen zu Inhaber-Zugangs-Tokens führen können, die auf viele Ebenen von Bereichen angewendet werden können. Sie werden auch die Bedeutung der Ratenbegrenzung kennenlernen und erfahren, warum es für REST-APIs unerlässlich ist, den eingehenden Datenverkehr zu verfolgen und zu beschränken. Die Ratenbegrenzung ist notwendig, um die Kapazitätsgrenzen einzuhalten und um DDoS-Angriffe abzuwehren, die darauf abzielen, Dienste durch das Senden massiver Datenmengen zu deaktivieren.

Was Sie lernen werden

Identifizieren Sie die gängigen Sicherheitsmechanismen zum Schutz von REST-APIs
Generieren und verwenden Sie API-Schlüssel und Geheimnisse, um auf geschützte APIs zuzugreifen
Erteilen Sie OAuth-Autorisierungsanfragen für scoped-Zugriff auf APIs
Wenden Sie Bearer-Zugriffstokens an, die von grundlegenden Authentifizierungsanfragen erhalten werden
Interpretieren Sie die 400er HTTP-Statuscodes, die zurückgegeben werden, wenn Schlüssel und Geheimnisse nicht erkannt werden
Implementieren Sie Rate Limiting, um eingehenden API-Datenverkehr zu verfolgen und einzuschränken

Wichtige Erkenntnisse

API-Sicherheit ist ein umfassender Ansatz, der den Schutz von Informationen, die Verwaltung von Clients und den Schutz der Stabilität eines API-Services umfasst.
API-Schlüssel und Geheimnisse gewähren Benutzer-/Passwort-ähnliche Authentifizierungsfunktionen für registrierte Clients, die auf RESTful-API-Services zugreifen.
OAuth ist zum Standard-Mechanismus für die API-Client-Autorisierung geworden, wobei grundlegende Authentifizierungsanfragen zu Bearer-Zugriffstokens führen können, die auf viele Ebenen von Umfängen angewendet werden.
Rate Limiting ist für REST-APIs essentiell, um innerhalb von Kapazitätsgrenzen zu bleiben und DDoS-Angriffe abzuwehren, die massive Mengen an Datenverkehr senden, um Services zu deaktivieren.
Nicht erkannte Schlüssel und Geheimnisse führen zu 400er HTTP-Statuscodes.

Häufig gestellte Fragen

Was behandelt dieser Kurs?

Er behandelt die Sicherheit für REST-APIs, einschließlich wie API-Schlüssel und Geheimnisse generiert und gesendet werden, um Zugriff zu erhalten, die Grundlagen der OAuth-Autorisierung und Bearer-Zugriffstokens sowie die Wichtigkeit von Rate Limiting zur Kontrolle des Datenverkehrs und Abwehr von DDoS-Angriffen.

Was werde ich nach diesem Kurs tun können?

Sie werden in der Lage sein, die gängigen Sicherheitsmechanismen für REST-APIs zu identifizieren, Schlüssel und Geheimnisse zu verwenden, um auf geschützte APIs zuzugreifen, und OAuth-Autorisierungsanfragen für scoped-Zugriff auf APIs zu erteilen.

Welche Lektionen sind enthalten?

Der Kurs umfasst drei Lektionen: API-Schlüssel und Zugriffsverwaltung; Verwendung von OAuth für Authentifizierung; und Verwendung von Rate Limiting zur Kontrolle des Datenverkehrs.

Welche Fähigkeiten hilft dieser Kurs zu entwickeln?

Er entwickelt Fähigkeiten in API-Design, API-Management, API-Tests, Anwendungsprogrammierschnittstelle (API), REST-API-Entwicklung und RESTful-API.

Warum ist Rate Limiting für REST-APIs wichtig?

Rate Limiting ist notwendig, um innerhalb von Kapazitätsgrenzen zu bleiben und DDoS-Angriffe abzuwehren, die Services deaktivieren möchten, indem sie massive Mengen an Datenverkehr senden.