Sécuriser l’API FDX pour protéger les données dans l’open banking

F5

Lors du récent « FDX Global Summit Spring 2021 », j’ai participé à une table ronde en tant que représentant de F5, aux côtés d’autres intervenants de Cequence Security et de Mastercard-Nudata. Nous avons évoqué les travaux du groupe de travail de la FDX sur la sécurité des API, qui réunit des établissements financiers, des agrégateurs et des fournisseurs de solutions de sécurité afin qu’ils collaborent à la définition d’une norme bancaire ouverte et sécurisée pour le partage des données.

Financial Data Exchange (FDX) est une organisation à but non lucratif qui se consacre au développement de la norme d’API (interface de programmation d’application) FDX afin de créer une norme commune d’interopérabilité des données. Celle-ci permet aux particuliers et aux entreprises d’accéder à leurs données financières de manière fiable et sécurisée, et servira de référence pour l’open banking aux États-Unis et au Canada.

L’open banking offre une formidable occasion de renforcer l’innovation et la collaboration dans le secteur des services financiers, en permettant aux FinTechs et à d’autres tiers autorisés d’innover et de proposer des services à valeur ajoutée à partir des données financières des consommateurs. Les normes d’open banking permettent aux consommateurs de consentir à ce que des tiers accèdent de manière sécurisée et granulaire à certaines de leurs données financières (par exemple, les soldes et les transactions) et à certaines fonctionnalités (par exemple, les paiements), et de les y autoriser. Les tiers et les FinTechs disposent ainsi de nombreuses possibilités pour proposer des services à valeur ajoutée, notamment :

• Regroupement des comptes et services de plusieurs établissements en un seul endroit
• Initiation de paiement
• Comparaison de produits financiers
• Fournir des services bancaires qui ne sont pas encore proposés par l’établissement
• Fournir des outils d’aide à la décision et des analyses fondés sur des données financières, tels que la vérification de l’identité, l’évaluation de la capacité de remboursement, etc.

F5 travaille en étroite collaboration avec ses clients du secteur des services financiers du monde entier afin de mettre en œuvre et de sécuriser les API d’open banking. F5 et Twimbit ont collaboré pour publier une étude sur les tendances mondiales de l’open banking.

Valeur intrinsèque des informations financières des consommateurs

Les informations financières des consommateurs sont une marchandise négociée sur les places de marché du darknet à des prix allant de 35 USD (pour les comptes à faible solde pouvant servir de comptes mules dans le cadre d’autres fraudes) à 150 USD ou plus (pour les comptes présentant des soldes plus élevés). Cette valeur marchande relativement faible s’explique par l’offre pléthorique de comptes et d’identifiants compromis. Les acteurs malveillants ont donc recours à l’automatisation — via les API — afin de mener leurs opérations à grande échelle, en négociant des milliers de comptes volés. Les API financières sont ainsi devenues une surface d’attaque majeure qu’il convient de protéger.

Les attaquants ciblent les API de l’open banking

Ces derniers temps, les cybercriminels qui ciblent le secteur des services financiers concentrent de plus en plus leurs attaques sur les interfaces de programmation d’applications (API). Les applications évoluent vers un modèle toujours plus distribué et décentralisé, dans lequel les API servent de points de connexion. Les dernières recherches de F5 montrent que le nombre d’incidents de sécurité liés aux API augmente chaque année et que, ces deux dernières années, la plupart de ces incidents étaient associés à un faible niveau de maturité en matière de sécurité, souvent dû à la prolifération des outils. Les différentes équipes de développement qui travaillent sur plusieurs applications utilisent souvent des ensembles d’outils disparates. Les équipes de sécurité traditionnelles peuvent donc ne pas disposer d’un point de contrôle centralisé leur permettant d’appliquer les politiques de sécurité. Il est par conséquent nécessaire d’adopter un ensemble d’outils standard afin d’intégrer les contrôles appropriés aux processus de développement et de gestion des API.

Une évolution : OFX et le screen scraping

Les API ne sont pas la seule surface d’attaque qui mérite une attention particulière. Traditionnellement, les tiers et les agrégateurs financiers ayant besoin d’accéder aux données des consommateurs ont eu recours à deux mécanismes :

• OFX (Open Financial eXchange), initialement conçu pour connecter les applications financières grand public (par exemple, MS Money et Intuit QuickBooks) aux établissements financiers d’un utilisateur.
• Capture de données d’écran — les consommateurs fournissent leurs identifiants bancaires à un tiers, qui se connecte ensuite au portail web de l’établissement financier pour en extraire ces informations.

OFX peut être utilisé par des acteurs malveillants comme canal pour mener à grande échelle des attaques par bourrage d’identifiants, valider des comptes et en prendre le contrôle, aussi bien directement que par l’intermédiaire d’agrégateurs financiers :

• F5 constate régulièrement que le protocole OFX est utilisé par des acteurs malveillants pour mener à grande échelle des attaques par bourrage d’identifiants, valider des comptes et en prendre le contrôle, aussi bien directement que par l’intermédiaire d’agrégateurs financiers.
• Fournir des identifiants à des tiers à des fins de capture de données d’écran expose ces identifiants aux risques liés au niveau de sécurité de ces tiers.
• Ces mécanismes ne permettent pas au consommateur de donner un consentement précis ni de contrôler finement les informations auxquelles le tiers peut accéder, ce qui entraîne des atteintes à la vie privée.

OFX a rejoint FDX et finira par fusionner avec ce dernier pour former une norme unifiée, offrant ainsi l’occasion de moderniser les contrôles de sécurité et de remédier aux problèmes de sécurité hérités du passé. Les approches fondées sur le screen scraping restent problématiques pour les établissements financiers.

Recommandations pour améliorer la sécurité

FDX a publié des recommandations détaillées concernant les mesures de contrôle à mettre en œuvre afin de protéger les informations relatives aux comptes des consommateurs et l’intégrité des services contre les menaces et les risques. Ces mesures comprennent :

• Sécurité des logiciels — mise en place de contrôles pour se prémunir contre les 10 principales vulnérabilités de l’OWASP et d’autres vulnérabilités logicielles, notamment par le déploiement d’un pare-feu d’applications web (WAF)
• Sécurité des réseaux et des systèmes
• Sécurité opérationnelle
• Sécurité physique
• Continuité des activités et reprise après sinistre
• Sécurité des fournisseurs
• Modèles de conception pour l’authentification et l’autorisation, y compris des mesures de protection contre le bourrage d’identifiants
• Modèles pour une architecture de passerelle sécurisée (SGA), notamment des contrôles de sécurité des API intégrés à la passerelle API

Enfin, le guide « Solutions d’open banking de F5 » présente une approche complète des solutions F5 pour l’open banking.

Nous remercions tout particulièrement les membres de notre équipe Services financiers qui ont contribué à cet article : Benn Alp, Chad Davis et Andy Franklin.

À propos de l’auteur

F5

Autres articles de F5