Unternehmen schützen heißt APIs schützen

Lori Mac VittieDistinguished Engineer und Chief Evangelist | F5

APIs schaffen Mehrwert durch ihre Fähigkeit zur Abstraktion auf Anwendungsebene. So lässt sich beispielsweise mithilfe einer API der Zugriff auf interne Systeme und Daten abstrahieren und dadurch der Zugriff auf bestehende IT-Systeme vereinfachen und automatisieren. APIs ermöglichen zudem die Integration in Ökosysteme sowie die Zusammenarbeit mit Partnern. Darüber hinaus sind APIs heute das wichtigste Mittel für Automatisierung und Orchestrierung und damit eine der Schlüsseltechnologien für eine erfolgreiche digitale Transformation. Somit sind APIs für Unternehmen zu einem strategischen Instrument für Innovation, effiziente Umsetzung und Monetarisierung geworden.

Monetarisierung

In einer digitalen Wirtschaft wird alles, womit sich Einnahmen erzielen lassen, früher oder später monetarisiert. Das gilt insbesondere für APIs, und Untersuchungen zeigen, dass die API-Wirtschaft stark ist.

• Mehr als jedes zehnte Unternehmen (11 %) erzielt über die Hälfte seines Umsatzes mit APIs und API-bezogenen Implementierungen. (Geschäftlicher Nutzen von APIs)
• Erstaunliche 59 % der Unternehmen erzielen zwischen 26 % und 50 % ihres Umsatzes mit APIs. (Geschäftlicher Nutzen von APIs)

Integration

APIs haben ESBs und webbasierte Portale als wichtigstes Mittel für die Integration zwischen Unternehmen abgelöst. Die Bedeutung von APIs als strategische Komponente für den Geschäftserfolg in der digitalen Wirtschaft ist umfassend dokumentiert.

o Über 60 % stimmen zu, dass die API-Integration für ihre Geschäftsstrategie von entscheidender Bedeutung ist. (Stand der API-Integration 2018)

o Mehr als 50 % der gesamten B2B-Zusammenarbeit wird über API-Integration erfolgen. (Stand der API-Integration 2018)

o 51 % nennen die „Zusammenarbeit mit externen Organisationen“ als einen der Hauptgründe für ihre Entscheidung, APIs zu entwickeln.
(State of the API 2019)

Die Abhängigkeit von Unternehmen und modernen Anwendungsarchitekturen wie Microservices von APIs macht diese zu einem besonders attraktiven Ziel für Angreifer, die wissen, wie wertvoll der Zugriff auf diese Endpunkte – oder die Kontrolle darüber – ist. Aufgrund dieses Risikos sollte der API-Schicht mehr Aufmerksamkeit gewidmet werden, insbesondere der Absicherung des Zugriffs auf die von ihr bereitgestellten Geschäftsfunktionen.

Authentifizierung ist nicht optional

Die Sicherheit von APIs beginnt bei der Zugriffskontrolle. Und das bedeutet Authentifizierung. „Offen“ sollte bei APIs kein Zugriffsmodell beschreiben. Vielmehr ist es eine Eigenschaft, die besagt, dass die API gut dokumentiert ist und einem Standard folgt. Der Aufruf von APIs sollte stets eine Authentifizierung und im Idealfall auch eine Autorisierung erfordern.

Es stehen mehrere Optionen zur Verfügung. Bevor Sie sich entscheiden, sollten Sie sich mit den Möglichkeiten und Einschränkungen der einzelnen Optionen vertraut machen.

• GUT: HTTP Basic
  HTTP Basic Auth ist die Standardeinstellung. Es ist die einfachste und gängigste Methode, um die Authentifizierung von HTTP-basiertem Datenverkehr durchzusetzen, wie etwa bei den meisten heutigen APIs. Der Nachteil von Basic Auth besteht darin, dass Anmeldedaten erforderlich sind und diese, wie wir alle wissen, häufig für mehrere Anwendungen verwendet werden. Angreifer verschaffen sich zunehmend über gestohlene (oder offengelegte) Anmeldedaten Zugang zu Systemen. Auch die Stärke der Passwörter sowie die Art und der Ort ihrer Speicherung wirken sich auf die Gesamtsicherheit dieser Methode aus. Es ist besser als nichts.
• BESSER: API-Schlüssel
  API-Schlüssel sind der HTTP-Basic-Authentifizierung einen Schritt voraus, da sie vom Aussteller ausgegeben und – so ist zumindest anzunehmen – nachverfolgt werden. API-Schlüssel werden zugeteilt und für verschiedene Zwecke eingesetzt, die über die Sicherheit hinausgehen, darunter die Nutzungsmessung und Abrechnung. In der Regel sind sie jedoch statisch. Das bedeutet, dass sie potenziell ausgelesen und von Dritten verwendet werden könnten, um sich als legitime Benutzer auszugeben. Auch die Weitergabe von Schlüsseln ist ein echtes Problem. Genau wie Zugangsdaten können und werden Schlüssel mit Kollegen und Familienmitgliedern geteilt. Und je weiter sie verbreitet werden, desto wahrscheinlicher ist es, dass sie jemand mit böswilligen Absichten abgreift und verwendet.
• AM BESTEN: Token mit Ablaufdatum
  Mit der wachsenden Zahl von APIs hat sich auch die Verwendung von Token immer stärker verbreitet. Am beliebtesten sind heute OAuth-Token (die ausschließlich für APIs verwendet werden) und JWT (JSON Web Tokens). Da JSON als Standardformat für den Austausch von Angaben zu Zugriffsrechten auf HTTP-basierte Ressourcen dient und auch außerhalb von APIs eingesetzt werden kann, hat sich JWT zu einem der heute am weitesten verbreiteten Mechanismen für die Authentifizierung und Autorisierung entwickelt. Dafür gibt es sogar einen RFC (7519). Ähnlich wie bei seinem XML-Pendant SAML wird eine JSON-Assertion ausgegeben, die den Zugriffsumfang und die Rolle des authentifizierten Benutzers beschreibt. Sie ist äußerst portabel und verfügt – was besonders wichtig ist – über ein Ablaufdatum mit Uhrzeit, sodass sie nicht ohne Weiteres dazu verwendet werden kann, sich als authentifizierter Benutzer auszugeben. Der Nachteil besteht darin, dass die Integration von Token aufwendiger ist und sie nicht immer nativ unterstützt werden. Dies kann zu Implementierungsfehlern führen, durch die unbeabsichtigt potenzielle Sicherheitslücken entstehen.

API-Sicherheit kann direkt in einer Anwendung oder – besser noch – in einem API-Gateway implementiert werden. Ein API-Gateway kann APIs zusätzlich schützen – etwa durch Funktionen wie Ratenbegrenzung (um versehentliche oder vorsätzliche Denial-of-Service-Angriffe zu verhindern) und Autorisierung. Die Autorisierung schränkt den Zugriff auf APIs ein, indem sie nur bestimmten Clients den Zugriff auf bestimmte API-Aufrufe erlaubt. Diese Clients werden in der Regel anhand von Token oder API-Schlüsseln identifiziert. Ein API-Gateway kann außerdem die zulässigen HTTP-Methoden beschränken und Versuche protokollieren, andere Methoden zu missbrauchen, sodass Sie über Angriffsversuche informiert sind.

Da wir auf Anwendungen angewiesen sind, müssen auch die APIs geschützt werden, auf denen sie basieren. Falls Sie noch nicht mit den Grundlagen begonnen haben, ist jetzt der richtige Zeitpunkt dafür. Wenn Sie Ihr Unternehmen schützen möchten, benötigen Sie sichere APIs.

Über den Autor

Lori Mac VittieDistinguished Engineer und Chief Evangelist | F5

Lori MacVittie ist Distinguished Engineer und Chief Evangelist im Office of the CTO von F5 und verfügt über umfassende Expertise in den Bereichen Anwendungsbereitstellung, Automatisierungsstrategie und Infrastruktur. Sie ist dafür bekannt, Komplexität verständlich zu machen – ob sie Leitplanken für KI-Agenten definiert, fragile Multicloud-Architekturen analysiert oder die Grenzen skalierbarer Systeme auslotet. Sie verfügt über mehr als dreißig Jahre Branchenerfahrung in der Anwendungsentwicklung, IT-Architektur sowie im Netzwerk- und Systembetrieb. Bevor sie zu F5 kam, war sie als mehrfach ausgezeichnete Technologie-Redakteurin tätig. MacVittie hat einen Masterabschluss in Informatik und ist eine produktive Autorin, deren Veröffentlichungen die Bereiche Sicherheit, Cloud und Unternehmensarchitektur abdecken. Außerdem spielt sie leidenschaftlich gern Brett- und Videospiele und vertritt mit voller Überzeugung klare Ansichten zum Thema Käse.

Weitere Blogbeiträge von Lori Mac Vittie