REST-, GraphQL-, gRPC- ja WebSocket-rajapintojen testaus: puutteelliset käyttöoikeustarkistukset, tietojen paljastuminen ja liiketoimintaprosessien väärinkäyttö.
API-rajapinta paljastaa liiketoimintalogiikan suoraan, ilman käyttöliittymää, joka ennen piilotti sen. Objektien tunnisteet ovat näkyvissä, palvelin hyväksyy yhä kenttiä, joita asiakassovellus ei koskaan näytä, ja jokainen päätepiste on yhden pyynnön päässä kenestä tahansa, jolla on pääsytunniste.
Työskentelemme rajapinnan määrittelyn pohjalta, jos sellainen on, ja muodostamme sen liikenteestä, jos sitä ei ole. Jokaista päätepistettä kutsutaan jokaisen roolin oikeuksin, muiden käyttäjien ja asiakasympäristöjen tunnisteilla, kentillä, joita sen ei pitäisi hyväksyä, ja järjestyksessä, jota työnkulku ei odota.
01Laajuus
Mitä testaamme
Objektitason käyttöoikeudet: pääsy muiden käyttäjien ja asiakasympäristöjen tietueisiin
Toimintotason käyttöoikeudet: hallinnolliset ja sisäiset toiminnot
Ominaisuustason käyttöoikeudet: mass assignment ja liiallinen tietojen paljastaminen
GraphQL: introspektio, kyselyjen syvyys ja monimutkaisuus, kyselyjen niputus, kenttätason käyttöoikeudet
gRPC ja WebSocket: metodien käyttöoikeudet, viestien validointi, kanavan kaappaus
Palvelinpuolen pyyntöjen väärentäminen (SSRF) ja kolmansien osapuolten API-rajapintojen turvaton käyttö
Inventaario: tuntemattomat, vanhentuneet ja vianetsintään tarkoitetut päätepisteet, versioiden eriytyminen
02Toimintatapa
Miten työ tehdään
01
Inventaario
Vertaamme määrittelyä todelliseen liikenteeseen sekä mobiili- ja verkkoasiakassovelluksiin ja luettelemme päätepisteet, jotka ovat olemassa mutta joita ei ole dokumentoitu.
02
Käyttöoikeusmatriisi
Jokaista toimintoa kutsutaan jokaisen roolin kirjautumistiedoilla muiden käyttäjien ja asiakasympäristöjen objekteihin. Tuloksena on matriisi, jossa sallittua verrataan siihen, minkä pitäisi olla sallittua.
03
Syötteiden ja skeeman väärinkäyttö
Lähetämme kenttiä, tyyppejä ja rakenteita, joita skeema ei odota: ylimääräisiä ominaisuuksia, sisäkkäisiä kyselyjä, ylisuuria eriä, ristiriitaisia sisältötyyppejä.
04
Liiketoimintaprosessien väärinkäyttö
Toimintoja toistetaan, niiden järjestystä muutetaan ja niitä ajetaan rinnakkain, jotta löydetään kilpatilanteet ja prosessit, jotka voidaan automatisoida liiketoiminnan vahingoksi.
Jokaisen havainnon taustalla olevan heikkouden luokka.
The MITRE Corporation
06Kysymykset
Kysymyksiä tästä palvelusta
API-rajapinnallemme ei ole dokumentaatiota. Voiko sitä testata?
Voi. Muodostamme rajapinnan asiakassovellustesi liikenteestä ja palvelimen käyttäytymisestä. Puuttuva dokumentaatio on itsessään havainto, ja laatimamme inventaario on osa raporttia.
Miten tämä eroaa verkkosovelluksen testauksesta?
Kohteena on järjestelmien välinen rajapinta, eivät sivut, jotka ihminen näkee. Työ keskittyy jokaisen objektin ja toiminnon käyttöoikeuksiin, skeemoihin ja automatisoituun väärinkäyttöön, sillä niistä API-rajapintoihin kohdistuvat tietomurrot saavat alkunsa.
Testaatteko mikropalvelujen välisiä sisäisiä API-rajapintoja?
Testaamme, ja lähtöpisteenä on määrittämäsi sijainti verkossa: internet, kumppanin verkko tai klusterin sisäpuoli. Sisäiset API-rajapinnat luottavat kutsujiinsa usein enemmän kuin pitäisi.
iOS- ja Android-sovellusten testaus yhdessä niiden taustajärjestelmän kanssa: tietojen tallennus, tiedonsiirto, vuorovaikutus alustan kanssa ja suojaus peukalointia vastaan.