Lời Mở Đầu

Trong thế giới Internet ngày nay, nơi luồng thông tin và dữ liệu giữa các ứng dụng được trao đổi liên tục, cùng với sự phát triển của kiến trúc microservice và serverless, hầu hết mọi ứng dụng đều xây dựng API cho các chức năng cơ bản. Điều này làm cho bảo mật API trở thành một phần cốt lõi của bảo mật thông tin hiện đại.

Nhiều vi phạm liên quan đến API đa phần không đến từ những kẻ tấn công tinh vi, mà nguyên nhân chính xuất phát từ việc thiết kế và triển khai API không đúng cách. Do đó, đây là lúc việc kiểm thử bảo mật API trở nên cần thiết để đảm bảo tính bảo mật, tính toàn vẹn và tính khả dụng của dữ liệu và các tài nguyên nhạy cảm.

Tổng Quan

Khái niệm Kiểm thử Bảo mật API

Ngày nay, API được sử dụng rất phổ biến và cho phép truy cập vào các chức năng, cũng như các dữ liệu phần mềm nhạy cảm nên API đang trở thành mục tiêu chính của những kẻ tấn công. Bảo mật API là quá trình bảo vệ API khỏi các cuộc tấn công.

Trong đó, kiểm thử bảo mật API là một thành phần quan trọng đảm bảo hoạt động của API trước các rủi ro bảo mật. Bao gồm việc đánh giá một cách có hệ thống các API để tìm ra các lỗ hổng tiềm ẩn và triển khai các biện pháp để bảo vệ khỏi các truy cập trái phép, vi phạm dữ liệu, tấn công tiêm nhiễm (injection) và các rủi ro bảo mật khác.

Việc kiểm thử bảo mật API cách toàn diện trở nên cần thiết hơn bao giờ hết, đảm bảo API phù hợp với các thông số kỹ thuật đã công bố và có khả năng phục hồi trước các cuộc tấn công và đầu vào độc hại.

Tầm quan trọng của Kiểm thử Bảo mật API

Bảo mật API liên quan đến việc bảo mật dữ liệu được truyền qua API, thường là giữa máy khách và máy chủ được kết nối qua mạng. API bị xâm phạm, bị lộ hoặc bị tấn công có thể làm lộ dữ liệu cá nhân, thông tin tài chính hoặc các dữ liệu nhạy cảm khác của doanh nghiệp. Do đó, bảo mật API là yếu tố quan trọng cần cân nhắc khi thiết kế và phát triển phần mềm.

Ví dụ: Một cuộc tấn công từ chối dịch vụ (DoS) có thể khiến điểm cuối API (endpoint) giảm đáng kể hiệu suất. Những kẻ tấn công có thể lạm dụng để lấy cắp dữ liệu hoặc vượt quá giới hạn sử dụng. Tinh vi hơn chúng có thể tiêm mã độc để thực hiện các hoạt động trái phép hoặc xâm phạm đến phần backend.

Các Lỗ Hổng Bảo Mật API Phổ Biến

Nhằm cung cấp cái nhìn bao quát và hiệu quả về kiểm thử bảo mật cho API, các nhà phát triển cần nắm rõ về các lỗ hổng thường gặp trong API. Dưới đây là 10 mối đe dọa và lỗ hổng bảo mật hàng đầu của API năm 2023 do OWASP cung cấp, với mục đích giúp cho các tổ chức xem xét và tham khảo khi tiến hành kiểm thử bảo mật API.

OWASP Top 10 API Security Risks – 2023

Danh sách trên có khá nhiều sự thay đổi so với năm 2019. Hãy cùng nhìn lại xu hướng của năm 2023 khác biệt như thế nào qua sự so sánh sau:

• Ta thấy rõ ràng xu hướng của kiểm thử bảo mật API đã thay đổi rất nhanh chóng, Broken Object Level Authorization (BOLA) đã được nâng lên vị trí hàng đầu, thay thế cho Broken Authentication. Việc nâng BOLA lên vị trí hàng đầu cho thấy tầm quan trọng của việc bảo vệ quyền truy cập vào các đối tượng API.
• Broken Object Property Level Authorization (BOPLA) đã được thêm vào danh sách, kết hợp hai lỗ hổng cũ là Excessive Data Exposure và Mass Assignment. Việc thêm BOPLA vào danh sách cho thấy tầm quan trọng của việc kiểm soát quyền truy cập vào các thuộc tính của đối tượng API.
• Thêm ba lỗ hổng mới đó là: Unrestricted Access to Sensitive Business Flows, Server Side Request Forgery và Unsafe Consumption of APIs.
• Có thể nói tấn công tiêm nhiễm (Injection) và Insufficient Logging and Monitoring không còn nằm trong Top 10, nhưng không vì thế mà bỏ qua các lỗ hổng này.

Tiến hành Kiểm thử Bảo Mật API

Các bước Kiểm thử Bảo mật API

Khi tầm quan trọng của bảo mật API tiếp tục tăng lên một cách mạnh mẽ, các tổ chức cần phải tiến hành kiểm thử bảo mật toàn diện và có hệ thống để xác định các lỗ hổng và giảm thiểu rủi ro. Sau đây là các bước cần thực hiện khi triển khai kiểm thử bảo mật API:

Bước 1. Hiểu các Điểm cuối API

Điểm cuối đóng vai trò là điểm tương tác với API. Để tiến hành kiểm thử bảo mật hiệu quả, cần xác định được các vấn đề sau:

• Xác định điểm cuối API: Xác định và ghi lại tất cả các điểm cuối API. Phân loại chúng dựa trên chức năng, độ nhạy cảm và các rủi ro bảo mật tiềm ẩn.
• Xác định các điểm cuối và Lỗ hổng nhạy cảm: Xác định điểm cuối nào xử lý các dữ liệu nhạy cảm, thực hiện các hoạt động quan trọng hoặc liên quan đến xác thực người dùng. Những điểm cuối này có thể dễ dàng mắc phải các lỗ hổng bảo mật hơn và cần yêu cầu kiểm tra nghiêm ngặt.
• Tổng hợp các điểm cuối: Tạo bản đồ toàn diện về các điểm cuối API, bao gồm các loại yêu cầu và phản hồi, hành vi dự kiến và các biện pháp kiểm soát bảo mật liên quan. Bản đồ này sẽ dùng làm tài liệu tham khảo trong quá trình kiểm thử để đảm bảo phạm vi được bao phủ toàn diện.

Bước 2. Kiểm tra Xác thực (Authentication) và Uỷ quyền (Authorization)

Cơ chế xác thực và ủy quyền đóng một vai trò quan trọng trong việc bảo mật API. Khi thực hiện kiểm thử, hãy xem xét những điều sau:

• Đánh giá hiệu quả xác thực: Đánh giá sức mạnh và hiệu quả của các cơ chế xác thực, chẳng hạn như API key, các mã token hoặc xác thực đa yếu tố. Hãy đảm bảo rằng chỉ những người dùng đã được xác thực mới có thể truy cập các tài nguyên được bảo vệ.
• Kiểm tra các biện pháp kiểm soát ủy quyền: Mục đích là đảm bảo chỉ những người dùng hoặc vai trò được ủy quyền mới có thể thực hiện các hành động cụ thể. Hãy chú ý đến các rủi ro leo thang đặc quyền, chẳng hạn như bỏ qua kiểm tra ủy quyền hoặc truy cập trái phép vào dữ liệu nhạy cảm.
• Kiểm tra các biện pháp kiểm soát truy cập không đúng cách: Xác định các rủi ro tiềm ẩn từ việc cấu hình bảo mật sai cách hoặc các biện pháp kiểm soát truy cập không phù hợp, điều này có thể cho phép kẻ tấn công truy cập trái phép vào các hoạt động hoặc các điểm cuối nhạy cảm. Hãy kiểm tra kỹ lưỡng các quy tắc và các cấu hình kiểm soát việc truy cập.

Bước 3. Kiểm tra Đầu vào và tính toàn vẹn dữ liệu

Xác thực đầu vào phù hợp là việc rất cấp thiết để ngăn chặn các cuộc tấn công tiêm nhiễm và duy trì tính toàn vẹn dữ liệu. Vì thế trong quá trình kiểm thử, hãy thực hiện các việc sau:

• Phân tích các kỹ thuật xác thực đầu vào: Đánh giá cách API xử lý các xác thực đầu vào để ngăn chặn các lỗ hổng phổ biến như tấn công XSS, SQL Injection hoặc XXE.
• Đảm bảo tính toàn vẹn dữ liệu: Đảm bảo rằng API thực hiện xác thực, làm sạch (sanitization) và mã hóa dữ liệu do người dùng cung cấp đúng cách, để ngăn ngừa hư hỏng hoặc giả mạo dữ liệu. Xác thực tính toàn vẹn của dữ liệu được truyền giữa máy khách và máy chủ.
• Kiểm tra các rủi ro làm rò rỉ và lộ dữ liệu: Xác định các rủi ro rò rỉ dữ liệu tiềm ẩn, chẳng hạn như vô tình tiết lộ thông tin nhạy cảm trong phần phản hồi hoặc thông báo lỗi.

Bước 4. Xử lý lỗi và quản lý ngoại lệ

Xử lý lỗi và quản lý ngoại lệ thích hợp sẽ cải thiện tính bảo mật và độ mạnh mẽ tổng thể của API.

• Đánh giá cơ chế xử lý lỗi: Đánh giá cách API xử lý lỗi và ngoại lệ. Kiểm tra mã lỗi thích hợp, thông báo mang tính thông tin và cách ghi log thích hợp.
• Kiểm tra lỗ hổng tiết lộ thông tin: Tìm kiếm các lỗ hổng tiềm ẩn liên quan đến việc tiết lộ thông tin trong phần phản hồi lỗi hoặc các dấu vết ngăn xếp (stack trace). Đảm bảo rằng các thông báo lỗi không tiết lộ thông tin nhạy cảm có thể hỗ trợ cho những kẻ tấn công.
• Đánh giá việc quản lý ngoại lệ: Đánh giá cách API xử lý các tình huống không mong muốn, chẳng hạn như các trường hợp ngoại lệ chưa được xử lý hoặc các cuộc tấn công từ chối dịch vụ. Xác minh rằng API xử lý các trường hợp ngoại lệ một cách hợp lý và không để lộ các lỗ hổng hệ thống.

Bước 5. Xác định Giới hạn

Để bảo vệ API khỏi các cuộc tấn công từ chối dịch vụ, cần xây dựng các quy tắc về việc hạn chế và điều tiết tốc độ truy cập:

• Hiểu được tầm quan trọng của việc giới hạn tỷ lệ (rate limit): Là để ngăn chặn tình trạng lạm dụng, tấn công brute-force hoặc các tình huống DoS.
• Kiểm tra việc vượt qua (bypass) giới hạn tỷ lệ: Cố gắng vượt qua giới hạn và xác minh xem API có thực thi chúng một cách nhất quán hay không. Kiểm tra các lỗ hổng tiềm ẩn cho phép kẻ tấn công phá vỡ các giới hạn và làm hệ thống quá tải.
• Kiểm tra tính hiệu quả của các cơ chế giới hạn tỷ lệ: Kiểm tra API trong các điều kiện tải khác nhau để đảm bảo rằng cơ chế điều chỉnh và giới hạn tỷ lệ hoạt động như mong đợi. Đo lường thời gian phản hồi và độ ổn định của API khi có lưu lượng truy cập lớn.

Bước 6. Tự động hoá Kiểm thử Bảo mật API

Tận dụng các kỹ thuật tự động hóa cho việc kiểm thử bảo mật API nhằm tối đa hóa hiệu quả và phạm vi bao phủ.

• Khám phá các kỹ thuật để xác định và ngăn chặn việc lạm dụng API: Tìm hiểu về các kịch bản lạm dụng API phổ biến, chẳng hạn như giả mạo tham số, tấn công lặp lại (replay) hoặc lộ các API key. Phát triển và cập nhật bộ test case để tăng cường bao phủ và giảm thiểu những rủi ro này.
• Triển khai việc kiểm thử bảo mật tự động: Sử dụng các công cụ và framework tự động, chẳng hạn như OWASP ZAP hoặc Burp Suite, để thực hiện kiểm thử bảo mật một cách hiệu quả. Tự động quét các lỗ hổng, kiểm tra fuzzing và kiểm tra các thiết lập bảo mật để đạt được mức độ bao phủ toàn diện.

Một vài kỹ thuật Kiểm thử Bảo mật API

Ở phần tiếp theo của loạt bài về API Security Testing, chúng ta sẽ cùng nhau tiếp tục tìm hiểu về một vài kỹ thuật kiểm thử bảo mật cho API, cũng như checklist cho việc kiểm thử này.

Hãy cùng chờ đợi phần 2 sẽ ra mắt sớm nhất có thể nhé!

Tài Liệu Tham Khảo

What Is API Security Testing and How Does It Work? | Synopsys

OWASP Top 10 API Security Risks – 2023 - OWASP API Security Top 10