Una API expone la lógica de negocio directamente, sin la interfaz que antes la ocultaba. Los identificadores están a la vista, el servidor sigue aceptando campos que el cliente nunca muestra y cada endpoint está a una petición de distancia de cualquiera que tenga un token.
Trabajamos a partir de la especificación cuando la hay y la reconstruimos a partir del tráfico cuando no la hay. Cada endpoint se llama con cada rol, con los identificadores de otros usuarios e inquilinos, con campos que no debería aceptar y en un orden que el flujo de trabajo no espera.
01Alcance
Qué ponemos a prueba
Autorización a nivel de objeto: acceso a registros de otros usuarios e inquilinos
Autorización a nivel de función: operaciones administrativas e internas
Autorización a nivel de propiedad: asignación masiva y exposición excesiva de datos
Autenticación: claves de API, flujos OAuth 2.0, validación de JWT, ciclo de vida de los tokens
Consumo de recursos: límites de frecuencia, paginación, operaciones por lotes, coste de las consultas
GraphQL: introspección, profundidad y complejidad, consultas por lotes, autorización por campo
gRPC y WebSocket: autorización de métodos, validación de mensajes, secuestro de canales
Falsificación de peticiones del lado del servidor y consumo inseguro de API de terceros
Inventario: endpoints ocultos, obsoletos y de depuración, desfase entre versiones
02Enfoque
Cómo se realiza el trabajo
01
Inventario
Comparamos la especificación con el tráfico real y con los clientes móviles y web, y enumeramos los endpoints que existen pero no están documentados.
02
Matriz de autorización
Cada operación se llama con las credenciales de cada rol sobre objetos de otros usuarios e inquilinos. El resultado es una matriz de lo que está permitido frente a lo que debería estarlo.
03
Abuso de entradas y del esquema
Enviamos campos, tipos y estructuras que el esquema no espera: propiedades adicionales, consultas anidadas, lotes de tamaño excesivo, tipos de contenido contradictorios.
04
Abuso de los flujos de negocio
Las operaciones se repiten, se reordenan y se ejecutan en paralelo para encontrar condiciones de carrera y flujos que pueden automatizarse en perjuicio del negocio.
Clase de debilidad que hay detrás de cada hallazgo.
The MITRE Corporation
06Preguntas
Preguntas sobre este servicio
No tenemos documentación de la API. ¿Se puede probar?
Sí. Reconstruimos la interfaz a partir del tráfico de sus aplicaciones cliente y del comportamiento del servidor. La falta de documentación es en sí misma un hallazgo, y el inventario que elaboramos forma parte del informe.
¿En qué se diferencia de una prueba de aplicaciones web?
El objetivo es la interfaz entre sistemas, no las páginas que ve una persona. El trabajo se centra en la autorización de cada objeto y cada operación, en los esquemas y en el abuso automatizado, que es de donde vienen las intrusiones en las API.
¿Prueban las API internas entre microservicios?
Sí, desde la posición de red que usted defina: desde internet, desde la red de un socio o desde dentro del clúster. Las API internas a menudo confían en quien las llama más de lo que deberían.