Siber Güvenlik
API Güvenlik Testi: En Sık Görülen Açıklar
API'ler neden ayrı test edilmeli?
Web arayüzünde görünmeyen pek çok işlev API üzerinden doğrudan çağrılabilir. Arayüzde gizlenmiş bir buton, API'de hâlâ çalışıyor olabilir. Bu yüzden API'ler kendi başına bir saldırı yüzeyidir.
OWASP API Security Top 10 (2023)
- Nesne düzeyinde bozuk yetkilendirme (BOLA): /api/orders/1052 yerine 1053 istendiğinde başkasının siparişi dönüyor mu?
- Bozuk kimlik doğrulama: Zayıf token üretimi, süresi dolmayan token'lar, kaba kuvvete açık giriş.
- Nesne özelliği düzeyinde yetkilendirme: Kullanıcının göremeyeceği alanların yanıtta dönmesi veya “isAdmin” gibi alanların istekle değiştirilebilmesi.
- Sınırsız kaynak tüketimi: Hız sınırı, sayfa boyutu ve dosya boyutu sınırı olmaması.
- İşlev düzeyinde bozuk yetkilendirme: Normal kullanıcının yönetici uç noktalarını çağırabilmesi.
- Hassas iş akışlarına sınırsız erişim: Otomasyonla toplu kupon kullanma, stok tüketme gibi.
- SSRF: URL alan parametrelerle iç ağa istek yaptırma.
- Yanlış yapılandırma: Açık CORS, ayrıntılı hata mesajları, gereksiz HTTP metotları.
- Hatalı envanter yönetimi: Unutulmuş eski sürümler (/v1/) ve test ortamları.
- Üçüncü taraf API'lerin güvensiz tüketimi: Dış servisten gelen verinin doğrulanmadan kullanılması.
Test nasıl yürütülür?
- OpenAPI/Swagger dokümanı veya Postman koleksiyonu üzerinden tüm uç noktalar listelenir
- En az iki farklı kullanıcı ve bir yönetici hesabıyla çapraz erişim denenir
- Token'lar incelenir: imza, süre, iptal mekanizması
- Girdi doğrulama ve enjeksiyon testleri yapılır
- Hız sınırlama ve büyük yük davranışı kontrol edilir
Geliştiriciler için hızlı kontrol listesi
- Her istekte kaydın sahibini sunucu tarafında doğrulayın
- Yanıtlarda yalnızca gerekli alanları döndürün
- İstekten gelen alanları beyaz listeyle modele aktarın
- Hız sınırı ve sayfalama uygulayın
- Eski API sürümlerini kapatın veya aynı güvenlik seviyesine getirin
Sonuç
API güvenliği, uygulama güvenliğinin büyük bölümüdür. API'lerinizi test ettirmek için siber güvenlik testleri sayfamıza bakabilir veya teklif alabilirsiniz.