ビジネスを守るにはAPIの保護が不可欠

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

APIは、アプリケーション層で抽象化を実現することで価値を生み出します。たとえば、APIを使用して社内システムやデータへのアクセスを抽象化すれば、レガシーITシステムへのアクセスを簡素化し、自動化できます。また、APIはエコシステムやパートナーとの統合を実現する手段でもあります。現在では自動化とオーケストレーションの主要な手段でもあり、デジタルトランスフォーメーションを成功に導く基盤技術の1つとなっています。そのためAPIは、イノベーション、効率的な業務遂行、収益化の源泉として、企業にとって戦略的に重要な存在となっています。

収益化

デジタル経済では、収益を生み出せるものはいずれ収益化されます。これは特にAPIに当てはまり、調査によるとAPIエコノミーは堅調です。

• 10社に1社を超える企業（11%）が、収益の半分以上をAPIおよびAPI関連の実装から得ています。（APIのビジネス価値）
• 実に59%もの企業が、組織全体の収益の26～50%をAPIから得ています。（APIのビジネス価値）

統合

企業間統合の主な手段は、ESBやWebベースのポータルからAPIへと移行しています。デジタル経済において、ビジネスの成功を支える戦略的要素としてAPIが不可欠であることは、数多くの文献で示されています。

o 60%以上が、API統合は自社のビジネス戦略に不可欠であると回答しています。（API統合の現状2018年版）

o すべてのB2Bコラボレーションのうち、50%以上がAPI統合を介して行われるようになります。（API統合の現状 2018）

o 51%が、API開発を決定する主な要因として「外部組織との提携」を挙げています。
（State of the API 2019）

ビジネスやマイクロサービスなどのモダンなアプリケーションアーキテクチャはAPIに依存しているため、こうしたエンドポイントへのアクセス権や制御権を得る価値を理解している攻撃者にとって、APIは特に魅力的な標的となります。このリスクを踏まえ、APIレイヤー、特にAPIが提供するビジネス機能へのアクセス保護に、より一層注意を払う必要があります。

認証は必須

APIのセキュリティは、アクセスの管理から始まります。つまり、認証が必要です。「オープンAPI」は、APIのアクセスモデルを表すものではありません。APIが十分に文書化され、標準に準拠していることを示す属性です。APIの呼び出しには常に認証を必須とし、可能であれば認可も必須とする必要があります。

複数の選択肢があるため、選択する前に、それぞれの機能と制限事項を把握しておく必要があります。

• 良： HTTP Basic
  HTTP Basic Authがデフォルトです。現在のほとんどのAPIなど、HTTPベースのトラフィックに認証を適用する方法として最もシンプルで一般的です。Basic Authの欠点は、認証情報が必要であり、その認証情報が複数のアプリケーションで共有されることが多い点です。攻撃者がシステムへのアクセスを得る手段として、窃取（または漏えい）した認証情報を利用するケースが増えています。パスワードの強度や保存場所、保存方法も、この方式の全体的なセキュリティに影響します。何も対策しないよりは有効です。
• より良い方法： APIキー
  APIキーは発行元によって発行され、追跡されていると考えられるため、HTTP Basic Authより一歩進んだ方法です。APIキーは個別に付与され、セキュリティだけでなく、使用量の計測や課金など、さまざまな目的に使用されます。ただし、一般に固定されているため、第三者に抽出され、正規ユーザーになりすますために使用される可能性があります。キーの共有も現実的な問題です。認証情報と同様に、キーも同僚や家族の間で共有されることがあります。広く共有されるほど、悪意のある人物に入手され、使用される可能性が高まります。
• 最善： 有効期限付きトークン
  APIの増加に伴い、トークンの利用が一般的になっています。現在、特に広く利用されているのは、OAuthトークン（API専用）とJWT（JSON Web Token）です。HTTPベースのリソースへのアクセスに関するクレームを交換する標準形式としてJSONが使用されていること、またAPI以外にも適用できることから、JWTは現在、認証と認可に最も広く利用されている仕組みの1つとなっています。JWTにはRFC（7519）もあります。XMLを使用する同種の仕組みであるSAMLと同様に、認証済みユーザーのアクセス範囲とロールを記述したJSONアサーションが発行されます。可搬性が高く、さらに重要な点として有効期限が設定されているため、認証済みユーザーになりすます目的で簡単に悪用することはできません。一方、トークンの統合にはより多くの作業が必要であり、必ずしもネイティブでサポートされているとは限りません。そのため、実装上のミスによって、意図せず悪用される可能性が生じることがあります。

APIセキュリティはアプリケーションに直接実装できますが、API Gatewayに実装する方が効果的です。API gatewayではAPIの保護をさらに強化できます。たとえば、レート制限（偶発的または意図的なサービス拒否攻撃を防止するため）や認可などの機能を利用できます。認可では、通常、トークンまたはAPIキーで識別される特定のクライアントにのみ、特定のAPI呼び出しへのアクセスを許可することで、APIへのアクセスを制限します。API gatewayでは、使用できるHTTPメソッドを制限し、その他のメソッドを悪用しようとする試みをログに記録することもできるため、攻撃の試みを把握できます。

アプリケーションへの依存が高まるなか、アプリケーションが利用するAPIも保護する必要があります。まだ基本的な対策を始めていない場合は、今こそ着手すべきです。ビジネスを守るには、APIのセキュリティ確保が欠かせません。

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事