API atklāj biznesa loģiku tieši, bez saskarnes, kas to agrāk slēpa. Identifikatori ir redzami, laukus, ko klienta lietotne nekad nerāda, serveris tik un tā pieņem, un katrs galapunkts ir viena pieprasījuma attālumā no ikviena, kam ir marķieris.
Strādājam pēc specifikācijas, ja tāda ir, un, ja tās nav, atjaunojam to no datplūsmas. Katru galapunktu izsaucam ar katru lomu, ar citu lietotāju un nomnieku identifikatoriem, ar laukiem, ko tam nevajadzētu pieņemt, un secībā, ko darbplūsma neparedz.
01Tvērums
Ko mēs testējam
Objektu līmeņa autorizācija: piekļuve citu lietotāju un nomnieku ierakstiem
Funkciju līmeņa autorizācija: administratīvas un iekšējas darbības
Īpašību līmeņa autorizācija: masveida piešķiršana un pārmērīga datu atklāšana
Autentifikācija: API atslēgas, OAuth 2.0 plūsmas, JWT validācija, marķieru dzīves cikls
Resursu patēriņš: pieprasījumu limiti, lapošana, pakešoperācijas, vaicājumu izmaksas
GraphQL: introspekcija, dziļums un sarežģītība, pakešvaicājumi, lauku autorizācija
gRPC un WebSocket: metožu autorizācija, ziņu validācija, kanāla pārtveršana
Servera puses pieprasījumu viltošana un trešo pušu API nedroša izmantošana
Uzskaite: neuzskaitīti, novecojuši un atkļūdošanas galapunkti, versiju atšķirības
02Pieeja
Kā notiek darbs
01
Uzskaite
Salīdzinām specifikāciju ar reālo datplūsmu un ar mobilajām un tīmekļa klientu lietotnēm un sastādām sarakstu ar galapunktiem, kas pastāv, bet nav dokumentēti.
02
Autorizācijas matrica
Katru darbību izsaucam ar katras lomas piekļuves datiem pret citu lietotāju un nomnieku objektiem. Rezultāts ir matrica: kas ir atļauts salīdzinājumā ar to, kam vajadzētu būt atļautam.
03
Ievades un shēmas ļaunprātīga izmantošana
Sūtām laukus, tipus un struktūras, ko shēma neparedz: papildu īpašības, ligzdotus vaicājumus, pārmērīgi lielas paketes, pretrunīgus satura tipus.
04
Biznesa plūsmu ļaunprātīga izmantošana
Darbības atkārtojam, mainām to secību un izpildām paralēli, lai atrastu vienlaicīgu pieprasījumu sacensību un plūsmas, kuras var automatizēt uzņēmumam par sliktu.
Nepilnības klase, kas ir katra konstatējuma pamatā.
The MITRE Corporation
06Jautājumi
Jautājumi par šo pakalpojumu
Mūsu API nav dokumentācijas. Vai to var testēt?
Jā. Saskarni atjaunojam no jūsu klientu lietotņu datplūsmas un servera uzvedības. Dokumentācijas trūkums pats par sevi ir konstatējums, un mūsu sastādītā uzskaite ir ziņojuma daļa.
Ar ko tas atšķiras no tīmekļa lietotnes testa?
Testa objekts ir saskarne starp sistēmām, nevis lapas, ko redz cilvēks. Darbs koncentrējas uz katra objekta un katras darbības autorizāciju, uz shēmām un uz automatizētu ļaunprātīgu izmantošanu, jo tieši no tā rodas ielaušanās caur API.
Vai testējat iekšējos API starp mikropakalpojumiem?
Jā, no jūsu noteiktās pozīcijas tīklā: no interneta, no partnera tīkla vai no klastera iekšienes. Iekšējie API bieži uzticas saviem izsaucējiem vairāk, nekā vajadzētu.