Il est évident que la sécurité des applications et des API s’est spécialisée. Les API ne sont plus de simples points d’entrée dans une application basés sur des URI. Elles ont gagné en maturité et sont devenues des entités à part entière, avec leurs propres besoins en matière de sécurité.
La plupart de ces besoins en matière de sécurité sont liés à la nature des interactions avec les API. En effet, les API doivent faire l’objet d’une autorisation pour chaque transaction. Cette approche diffère sensiblement de celle des applications, pour lesquelles l’autorisation s’applique généralement à chaque session.
La fréquence des interactions est également plus élevée pour les API, tout comme plusieurs autres caractéristiques qui posent des défis particuliers en matière de sécurisation des API.
Application APIMaîtrise des formats de message HTML, JSON, XML ProtoBuf, JSON, GraphQL, binaire, XML, formats de donnéesInteractions Statiques, changements peu fréquents Dynamiques, changements fréquentsDonnées Structurées, transactionnelles Non structurées/structurées, en streaming et transactionnellesUtilisateur Humain Logiciel, humainAgent utilisateur Navigateurs, applications Logiciels, appareils, scripts, applications, navigateursAuthentification Basée sur les sessions Basée sur les transactions (davantage de type ZT)Maîtrise des protocoles HTTP/S, QUIC gRPC, WebSockets, HTTP/S, QUIC
Une comparaison entre les applications et les API met en évidence des différences qui ont entraîné une divergence des besoins en matière de sécurité.
Cela étant dit, les applications et les API présentent des risques de sécurité communs qu’il convient de prendre en compte lors de la mise en œuvre de solutions de sécurité. Par exemple, la récente mise à jour du Top 10 2023 des risques de sécurité des API met clairement en évidence un sous-ensemble de risques également présents dans les applications :
- Contrôles d’authentification et d’autorisation insuffisants
- Mauvaise configuration
- Abus de la logique métier (bourrage d’identifiants, prise de contrôle de compte)
- Falsification de requête côté serveur (SSRF)
Outre ces risques, un nombre important d’attaques visant la disponibilité continue d’être observé. Il s’agit notamment d’attaques DDoS qui touchent aussi bien les applications que les API, car celles-ci dépendent généralement toutes deux des protocoles TCP et HTTP, eux-mêmes exposés à diverses attaques conçues pour perturber l’accès et la disponibilité.
Une approche pour relever les défis liés à la sécurisation des applications, des API et de l’infrastructure qui les prend en charge consiste à déployer plusieurs solutions : protection contre les bots et la fraude, protection contre les attaques DDoS, sécurité des applications et sécurité des API. Si cette approche permet certes de répondre aux enjeux de sécurité, elle engendre des difficultés opérationnelles et complexifie de nombreuses tâches liées à la sécurité, telles que la gestion des modifications de politiques et la réponse aux menaces qui touchent à la fois les applications et les API. La complexité est non seulement l’ennemie de la sécurité, mais aussi celle de la rapidité.
Selon notre étude annuelle, la rapidité avec laquelle il est possible de réagir aux menaces émergentes constitue l’un des principaux moteurs de l’adoption de la sécurité en tant que service. Chaque solution nécessitant l’application d’un correctif, une mise à jour ou le déploiement d’une nouvelle politique pour atténuer une menace émergente prend du temps et accroît le risque d’une erreur de configuration ou d’une autre erreur. Ainsi, le délai nécessaire pour atténuer une menace augmente avec la complexité, en particulier lorsqu’une organisation opère dans plusieurs environnements (informatique hybride) et utilise des solutions de sécurité propres à chacun d’eux. Je ne vais pas faire le calcul pour déterminer si cette augmentation est linéaire ou exponentielle, car, honnêtement, tout ce qui allonge le délai de réaction face à une menace imminente est préjudiciable.
C’est pourquoi une meilleure approche consiste à combiner les solutions afin de mutualiser la gestion opérationnelle et la gestion de la sécurité des fonctions conçues pour lutter contre les menaces, tout en permettant l’application de politiques de sécurité spécifiques aux protocoles et aux charges utiles propres aux applications et aux API.
Cela conduit à une stratégie intégrée de sécurité des applications et des API, dans laquelle les fonctions communes sont mutualisées, tandis qu’une granularité et une spécificité croissantes sont appliquées au plus près de l’application ou de l’API. Après tout, les bots restent des bots, et leur incidence sur la qualité des données, le coût de la prestation et le profil de risque des applications et des API constitue une préoccupation commune. Une attaque DDoS reste une attaque DDoS. Exploiter deux fois plus de services pour résoudre le même problème est inefficace, quel que soit l’indicateur considéré.
Une stratégie intégrée de sécurité des applications et des API est pertinente sur les plans opérationnel, financier et architectural.
À propos de l’auteur
Lori MacVittie est ingénieure émérite et évangéliste en chef au sein du bureau du directeur technique de F5. Elle possède une expertise approfondie dans la fourniture d’applications, les stratégies d’automatisation et les infrastructures. Elle est réputée pour sa capacité à rendre la complexité intelligible, qu’elle définisse des garde-fous pour les agents d’IA, analyse des architectures multicloud fragiles ou explore les limites des systèmes évolutifs. Elle cumule plus de trente ans d’expérience dans le secteur, couvrant le développement d’applications, l’architecture informatique ainsi que l’exploitation des réseaux et des systèmes. Avant de rejoindre F5, elle a été rédactrice spécialisée dans les technologies et a reçu plusieurs distinctions. MacVittie est titulaire d’un master en informatique et est une autrice prolifique dont les publications couvrent la sécurité, le cloud et l’architecture d’entreprise. Elle est également une passionnée de jeux de société et de jeux vidéo, et assume pleinement ses avis bien tranchés sur le fromage.
Autres articles de Lori Mac VittieArticles de blog associés
Pourquoi devriez-vous vous intéresser à WebAssembly ?
WebAssembly (Wasm) est un jeu d’instructions binaires portable, rapide et sécurisé, qui permet d’exécuter des applications hautes performances sur n’importe quelle plateforme.
Trois choses à savoir sur les applications d’IA
Les applications d’IA sont des applications modernes, mais elles présentent certaines particularités. Découvrez les points essentiels à connaître sur les applications basées sur l’IA.
État des lieux de la stratégie applicative 2022 : il est temps de moderniser les opérations
Il est devenu évident que, pour maintenir la dynamique de leur transformation numérique, les organisations doivent recentrer leurs efforts sur les fonctions métier. Si les expériences destinées aux clients restent prioritaires, il est également indispensable de permettre la numérisation de fonctions telles que les services juridiques, les ressources humaines et la finance. Les DSI prennent donc les commandes, tandis que la transformation numérique passe de la modernisation des applications à celle des opérations.
Clouds multiples ou multicloud : faciliter la transition
La gestion et la sécurisation des charges de travail deviennent complexes à mesure que les entreprises adoptent une stratégie de cloud connecté. Découvrez comment F5 répond au besoin d’une nouvelle approche de la mise en réseau multicloud.
L’expérience client dépend de la visibilité
Une enquête menée par Dimensional Research auprès de plus de 3 000 utilisateurs d’applications mobiles a confirmé ce que beaucoup d’entre nous pensent des attentes actuelles des clients.
Transformation numérique et explosion du portefeuille d’applications
La transformation numérique stimule la croissance des portefeuilles d’applications et modifie la manière dont celles-ci sont développées, déployées, intégrées et, en définitive, utilisées.