APIs REST e segurança de aplicações

Name: APIs REST e segurança de aplicações
Author: Josh Guardino

Saiba como assegurar e proteger as APIs REST

Preview the first lesson free — get full access to all 3 lessons.

Curso: sob demanda

Olá, meu nome é Josh Guardino e nessas aulas, você aprenderá sobre a segurança da API REST. Vamos começar explorando as chaves de API e gerenciamento de acesso. Existem várias maneiras de proteger uma API REST. Embora algumas APIs REST sejam abertas e pode ser acessado por qualquer pessoa, a grande maioria das APIs REST ter algum tipo de segurança para governar a autenticação e possivelmente a autorização para clientes da API. Um padrão popular é usar chaves de API. Uma chave de API é simplesmente um ID do sistema gerado aleatoriamente com uma senha correspondente mas o ID é chamado de chave de API e a senha é normalmente chamada de segredo. Os provedores de API que oferecem suporte a chaves de API fornecerão um mecanismo pelo qual alguém pode solicitar uma chave de API. Este formulário de solicitação pode estar disponível ao público em geral por meio de algo como data.gov, câmara de compensação de dados do governo dos EUA mas frequentemente para serviços pagos, As chaves de API só podem ser solicitadas por clientes cadastrados e pagantes. Os formulários de inscrição de chave de API oferecem uma grande oportunidade para coletar uma variedade de informações sobre como a chave será usada, como entrar em contato com os donos da chave e qualquer outro tipo de informação cadastral que é considerado necessário pelos proprietários da API. Como um exemplo, vamos dar uma olhada no muito popular Spotify for Developers API. Depois de ter registrado uma conta, eu posso criar um aplicativo que seria um cliente da API e este aplicativo recebe automaticamente um ID de cliente ou chave de API e um segredo do cliente, que é como uma senha. Muitas vezes, quando as chaves de API são atribuídas pela primeira vez, o segredo é mostrado apenas uma vez. Se o segredo for perdido, a chave precisará ser regenerada. No entanto, o Spotify permite a rotação do segredo sem precisar alterar o ID do cliente ou a chave de API. Com a chave API, um cliente da API do Spotify pode criar uma solicitação para receber um token de acesso através de um processo chamado OAuth. Na API do Departamento de Veículos Automotores, Eu adicionei uma verificação de autenticação para todos os endpoints da API que espera uma chave de API e um segredo a serem passados nos cabeçalhos da solicitação. E é padrão usar a chave x-api e nomes de cabeçalho secretos para armazenar esses valores. Para o terminal de postagem v1/drivers, vamos adicionar cabeçalhos x-api-key e x-api-secret e vamos definir ambos para um valor de teste o que deve fazer com que a solicitação falhe na autorização porque teste e teste não é um par de chave e segredo válido e um código de status não autorizado 401 é retornado. Eu também criei um array JSON no aplicativo com várias chaves e segredos gerados aleatoriamente. E como você pode ver, cada chave e segredo também tem um endereço de e-mail do usuário e outros campos importantes normalmente seriam mantidos juntamente com a chave e o segredo, como o nome do cliente e talvez uma descrição do uso pretendido da API pelo cliente. Mas aqui um simples e-mail de usuário nos permitirá para rastrear a chave para um cliente específico. Vamos selecionar uma das chaves e volte para nosso terminal de postagem v1/drivers e adicione isso como um cabeçalho x-api-key. E vamos selecionar um segredo e adicione-o como o cabeçalho x-api-secret. Eu tenho x-api-key em letras minúsculas e x-api-secret em letras maiúsculas apenas para demonstrar que o caso é ignorado, então ambos funcionarão bem. E agora, quando executamos esta solicitação, a autorização é bem-sucedida e um 201 é retornado. Uma observação final sobre a chave e o segredo nos cabeçalhos. Esta é a maneira preferida de enviar a chave e segredo para o servidor porque adicioná-los ao URL como os parâmetros de consulta os causariam para ser exibido em texto simples nos logs de acesso do servidor que listam URLs completos de solicitações recebidas. E colocando os valores no corpo da solicitação funcionaria para solicitações de postagem mas obter pedidos, por exemplo, não têm corpos. Portanto, um mecanismo alternativo precisaria ser usado para obter pedidos causando uma inconsistência na maneira em que os parâmetros de autenticação são enviados ao servidor. Portanto, os cabeçalhos são seguros e lugar padronizado onde esse tipo de informação pode ser passada. Obrigado por assistir. Fique ligado na próxima aula onde mostrarei como usar o protocolo OAuth para segurança da API REST.

Principiante Fornecedor : Josh Guardino 3 lições · 15m em Árabe, Alemão, Inglês, Espanhol, Francês, Português, Chinese

Descrição do curso

A segurança nunca deve ser uma reflexão tardia, especialmente quando se lida com recursos de rede; e as API REST não são excepção. Não se trata apenas de proteger informações: é uma abordagem abrangente que também envolve a gestão de clientes e a protecção da estabilidade de um serviço de API.

A utilização de chaves de API é um padrão muito comum que concede capacidades de autenticação do tipo utilizador/palavra-passe a clientes registados. Nestas lições, aprenderá como as chaves e os segredos da API são gerados e enviados para os serviços de API RESTful para obter acesso, bem como os códigos de estado HTTP da série 400 que resultam quando as chaves e os segredos não são reconhecidos.

O protocolo OAuth tornou-se o mecanismo padrão para autorização de cliente de API e aprenderá os fundamentos do OAuth e como as solicitações de autenticação básica podem resultar em tokens de acesso ao portador que podem ser aplicados a vários níveis de alcance. Também aprenderá a importância da limitação de taxa e por que ela é essencial para as APIs REST rastrearem e restringirem o tráfego de entrada. A limitação de taxa é necessária para permanecer dentro dos limites de capacidade e também para desviar ataques DDoS, que procuram desabilitar serviços enviando grandes quantidades de tráfego.

O Que Você Vai Aprender

Identificar os mecanismos de segurança comuns usados para proteger APIs REST
Gerar e usar chaves de API e segredos para acessar APIs protegidas
Emitir solicitações de autorização OAuth para acesso com escopo a APIs
Aplicar tokens de acesso bearer obtidos de solicitações de autenticação básica
Interpretar os códigos de status HTTP da série 400 retornados quando chaves e segredos não são reconhecidos
Implementar limitação de taxa para rastrear e restringir o tráfego de API de entrada

Principais Conclusões

A segurança da API é uma abordagem abrangente que envolve proteger informações, gerenciar clientes e proteger a estabilidade de um serviço de API.
Chaves de API e segredos concedem capacidades de autenticação do tipo usuário/senha para clientes registrados que acessam serviços de API RESTful.
OAuth se tornou o mecanismo padrão para autorização de cliente de API, onde solicitações de autenticação básica podem resultar em tokens de acesso bearer aplicados a muitos níveis de escopos.
Limitação de taxa é essencial para que APIs REST permaneçam dentro dos limites de capacidade e para desviar ataques DDoS que enviam quantidades massivas de tráfego para desabilitar serviços.
Chaves e segredos não reconhecidos resultam em códigos de status HTTP da série 400.

Perguntas Frequentes

O que este curso abrange?

Abrange segurança para APIs REST, incluindo como chaves de API e segredos são gerados e enviados para obter acesso, os princípios básicos de autorização OAuth e tokens de acesso bearer, e a importância da limitação de taxa para controlar o tráfego e desviar ataques DDoS.

O que vou ser capaz de fazer após fazer este curso?

Você será capaz de identificar os mecanismos de segurança comuns usados para APIs REST, usar chaves e segredos para acessar APIs protegidas e emitir solicitações de autorização OAuth para acesso com escopo a APIs.

Que lições estão incluídas?

O curso inclui três lições: API Keys and Access Management; Using OAuth for Authentication; e Using Rate Limiting to Control Traffic.

Que habilidades este curso ajuda a desenvolver?

Desenvolve habilidades em API Design, API Management, API Testing, Application Programming Interface (API), REST API Development e RESTful API.

Por que a limitação de taxa é importante para APIs REST?

Limitação de taxa é necessária para permanecer dentro dos limites de capacidade e para desviar ataques DDoS, que procuram desabilitar serviços enviando quantidades massivas de tráfego.