Proteger el negocio significa proteger las API

Lori Mac VittieIngeniero distinguido y evangelista jefe | F5

Las API generan valor gracias a su capacidad de abstracción en la capa de aplicación. Por ejemplo, el uso de una API para abstraer el acceso a los sistemas y datos internos permite simplificar y automatizar el acceso a los sistemas informáticos heredados. Las API también son el medio que permite la integración en ecosistemas y con socios. Asimismo, hoy en día son el principal medio de automatización y orquestación, lo que las convierte en una de las tecnologías fundamentales para el éxito de un proceso de transformación digital. Por tanto, las API se han convertido en un recurso estratégico para las empresas como fuente de innovación, eficiencia operativa y monetización.

Monetización

En una economía digital, todo aquello que pueda generar ingresos acabará monetizándose. Esto es especialmente cierto en el caso de las API, y los estudios indican que la economía de las API es sólida.

• Más de una de cada diez empresas (11 %) genera más de la mitad de sus ingresos mediante API e implementaciones relacionadas con ellas. (Valor empresarial de las API)
• Un sorprendente 59 % de las empresas obtiene entre el 26 % y el 50 % de los ingresos de su organización a través de las API. (El valor empresarial de las API)

Integración

Las API han sustituido a los ESB y a los portales web como principal medio de integración entre empresas. La importancia de las API como componente estratégico para el éxito empresarial en la economía digital está ampliamente documentada.

o Más del 60 % está de acuerdo en que la integración de API es fundamental para su estrategia empresarial. (Estado de la integración de API en 2018)

o Más del 50 % de toda la colaboración B2B se llevará a cabo mediante la integración de API. (Estado de la integración de API en 2018)

o El 51 % cita la «colaboración con organizaciones externas» como uno de los principales motivos para decidir desarrollar API.
(Estado de las API en 2019)

La dependencia de las empresas y de las arquitecturas de aplicaciones modernas, como los microservicios, respecto de las API convierte a estas en un objetivo especialmente atractivo para los atacantes que comprenden el valor de obtener acceso —o control— sobre estos puntos de conexión. Este riesgo implica que debe prestarse más atención a la capa de API, especialmente a proteger el acceso a las funciones empresariales que representan.

La autenticación no es opcional

La seguridad de las API comienza por el acceso. Y eso implica autenticación. El término «API abiertas» no debería describir el modelo de acceso de una API. Es un atributo que indica que la API está bien documentada y sigue un estándar. La invocación de las API siempre debería requerir autenticación y, preferiblemente, autorización.

Hay varias opciones disponibles y, antes de elegir, conviene conocer las capacidades y limitaciones de cada una.

• BUENO: HTTP Basic
  La autenticación HTTP Basic es la opción predeterminada. Es la forma más sencilla y habitual de exigir la autenticación del tráfico basado en HTTP, como el de la mayoría de las API actuales. El inconveniente de la autenticación básica es que requiere credenciales y, como todos sabemos, estas suelen compartirse entre varias aplicaciones. Los atacantes recurren cada vez más a credenciales robadas (o expuestas) para acceder a los sistemas. La solidez de las contraseñas y dónde y cómo se almacenan también influyen en la seguridad general de este método. Es mejor que nada.
• MEJOR: Claves de API
  Las claves de API suponen un avance respecto a la autenticación HTTP Basic, ya que las emite el proveedor (y, cabe suponer, también realiza su seguimiento). Las claves de API se distribuyen y se utilizan para diversos fines más allá de la seguridad, como la medición del uso y la facturación. Sin embargo, suelen ser estáticas, lo que significa que podrían extraerse y ser utilizadas por un tercero para suplantar a un usuario legítimo. Compartir claves también supone un verdadero problema. Al igual que las credenciales, las claves pueden compartirse —y de hecho se comparten— con compañeros de trabajo y familiares. Y cuanto más se difunden, más probable es que alguien con intenciones maliciosas las obtenga y las utilice.
• LA MEJOR OPCIÓN: Tokens con caducidad
  El uso de tokens se ha generalizado a medida que ha aumentado el número de API. Los dos más utilizados actualmente son los tokens OAuth (empleados exclusivamente para API) y JWT (tokens web JSON). El uso de JSON como formato estándar para intercambiar declaraciones sobre el acceso a recursos basados en HTTP, así como su aplicabilidad fuera de las API, ha convertido a JWT en uno de los mecanismos de autenticación y autorización más extendidos en la actualidad. Incluso cuenta con una RFC (7519). Al igual que ocurre con su equivalente en XML, SAML, se emite una declaración JSON que describe el alcance del acceso y el rol del usuario autenticado. Es muy portable y, lo que es más importante, incluye una fecha y hora de caducidad, por lo que no puede utilizarse fácilmente para suplantar a un usuario autenticado. El inconveniente es que los tokens requieren más trabajo de integración y no siempre son compatibles de forma nativa. Esto puede dar lugar a errores de implementación que introduzcan involuntariamente posibles vulnerabilidades.

La seguridad de las API puede implementarse directamente en una aplicación o, mejor aún, en una puerta de enlace de API. Una puerta de enlace de API puede reforzar la protección de las API mediante funciones como la limitación de solicitudes (para evitar ataques de denegación de servicio accidentales o intencionados) y la autorización. La autorización restringe el acceso a las API al permitir que solo determinados clientes, normalmente identificados mediante tokens o claves de API, accedan a llamadas específicas. Una puerta de enlace de API también puede limitar los métodos HTTP utilizados y registrar los intentos de uso indebido de otros métodos para que tenga constancia de los intentos de ataque.

Nuestra dependencia de las aplicaciones implica que las API en las que se apoyan también necesitan protección. Si aún no has empezado por lo básico, es hora de ponerse manos a la obra. Si quieres proteger tu empresa, necesitarás API seguras.

Sobre el autor

Lori Mac VittieIngeniero distinguido y evangelista jefe | F5

Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.

Más artículos de Lori Mac Vittie