Klíč aplikačního programovacího rozhraní (API) je jedinečný kód používaný rozhraním API k identifikaci aplikace nebo uživatele, který zadává požadavek. Klíče API se používají ke sledování a kontrole toho, kdo používá rozhraní API a jak je používají, a také k ověřování a autorizaci aplikací, podobně jako fungují uživatelská jména a hesla. Klíč API může být ve formě jednoho klíče nebo sady klíčů. Uživatelé by se měli řídit osvědčenými postupy, aby zlepšili své celkové zabezpečení proti krádeži klíče API a vyhnuli se důsledkům kompromitace klíče API.
API a API klíč
Abyste pochopili, co je klíč API, musíte nejprve pochopit, co je API. Aplikační programovací rozhraní neboli API je softwarový prostředník, který umožňuje dvěma nebo více aplikacím sdílet informace. CoinMarketCap API například umožňuje jiným aplikacím získávat a používat kryptodata, jako je cena, objem a kapitalizace.
Klíč API má různé formy: může to být jeden klíč nebo sada klíčů. Různé systémy používají tyto klíče k ověření a autorizaci aplikace, podobně jako uživatelské jméno a heslo pro jednotlivce. API klíč používá klient API k ověření aplikace požadující API.
Pokud chce například Binance Academy používat CoinMarketCap API, CoinMarketCap vygeneruje API klíč a použije jej k ověření identity Binance Academy (klient API), který požaduje přístup k API. Když Binance Academy přistupuje k CoinMarketCap API, musí být tento API klíč zaslán CoinMarketCap s požadavkem.
Tento klíč API by měl používat pouze Binance Academy a neměl by být sdílen ani zasílán ostatním. Sdílení tohoto klíče API by umožnilo třetí straně přistupovat na CoinMarketCap jako Binance Academy a všechny akce od této třetí strany budou vypadat, jako by pocházely z Binance Academy.
Klíč API může být také použit rozhraním CoinMarketCap API k potvrzení, zda je aplikace oprávněna přistupovat k požadovanému zdroji. Vlastníci rozhraní API navíc používají klíče rozhraní API ke sledování aktivity rozhraní API, jako jsou různé typy požadavků, provoz a objem požadavků.
Co je to API klíč?
Klíč API se používá ke kontrole a sledování toho, kdo používá API a jak je používá. Pojem „klíč API“ může mít v různých systémech různé významy. Některé systémy mají jeden kód, ale jiné mohou mít více kódů pro jeden „klíč API“.
Jako takový je „klíč API“ jedinečný kód nebo sada jedinečných kódů používaných rozhraním API k autentizaci a autorizaci uživatele nebo aplikace vytvářející požadavek. Některé kódy se používají pro autentizaci a jiné pro vytváření kryptografických podpisů k prokázání oprávněnosti požadavku.
Tyto autentizační kódy se běžně nazývají „klíč API“, zatímco kódy používané pro kryptografické podpisy mají různá jména, jako například „tajný klíč“, „veřejný klíč“ nebo „soukromý klíč“. jsou tím, za koho se vydávají.
Autorizace na druhé straně určuje, ke kterým službám API je povolen přístup. Funkce klíče API je podobná funkci uživatelského jména a hesla účtu. Lze jej také propojit s dalšími bezpečnostními zařízeními pro zlepšení celkové bezpečnosti.
Každý klíč API je obvykle generován pro konkrétní entitu vlastníkem rozhraní API (další podrobnosti níže) a pokaždé, když je na koncový bod rozhraní API odeslán požadavek, který vyžaduje ověření nebo autorizaci od uživatele rozhraní API, použije se odpovídající klíč .
Kryptografické podpisy
Některé klíče API používají kryptografické podpisy jako další vrstvu ověření. Když chce uživatel odeslat určitá data do API, může být k požadavku přidán digitální podpis generovaný jiným klíčem. Pomocí kryptografie může vlastník API ověřit, že se tento digitální podpis shoduje s odeslanými daty.
Symetrické a asymetrické podpisy
Data sdílená prostřednictvím rozhraní API mohou být podepsána kryptografickými klíči, které lze rozdělit do následujících kategorií:
Symetrické klávesy
Zahrnují použití tajného klíče k provádění jak podepisování dat, tak ověřování podpisu. U symetrických klíčů jsou klíč API a tajný klíč obvykle generovány vlastníkem rozhraní API a stejný tajný klíč musí být použit službou API pro ověření podpisu. Hlavní výhodou použití jediného klíče je rychlejší implementace a menší výpočetní výkon pro generování a ověřování podpisu. HMAC je dobrým příkladem symetrického klíče.
Asymetrické klíče
Zahrnují použití dvou klíčů: soukromého klíče a veřejného klíče, které jsou různé, ale kryptograficky příbuzné. Soukromý klíč se používá pro generování podpisu a veřejný klíč se používá pro ověřování podpisu. Klíč API generuje vlastník rozhraní API, ale pár soukromých a veřejných klíčů generuje uživatel. Vlastník API by měl pro ověření podpisu používat pouze veřejný klíč, takže soukromý klíč může zůstat místní a tajný.
Hlavní výhodou použití asymetrických klíčů je zvýšená bezpečnost oddělení generování podpisu a ověřovacích klíčů. To umožňuje externím systémům ověřovat podpisy, aniž by je bylo možné generovat. Další výhodou je, že některé systémy asymetrického šifrování umožňují přidání hesla k soukromým klíčům. Dobrým příkladem jsou páry klíčů RSA.
Jsou klíče API bezpečné?
Odpovědnost za API klíč leží na uživateli. Klíče API jsou podobné heslům a mělo by se s nimi zacházet stejně opatrně. Sdílení klíče API je podobné sdílení hesla a jako takové by nemělo probíhat, protože by to ohrozilo účet uživatele.
Klíče API jsou běžně terčem kybernetických útoků, protože je lze použít k provádění rozsáhlých operací v systémech, jako je vyžadování osobních údajů nebo provádění finančních transakcí. Skutečně se vyskytly případy, kdy webové prohledávače úspěšně skenovaly online databáze kódů, aby ukradly klíče API.
Důsledky krádeže klíče API mohou být dramatické a vést ke značným finančním ztrátám. Navíc, protože platnost některých klíčů API nevyprší, mohou je útočníci po odcizení používat neomezeně, dokud nebudou klíče samotné odvolány.
Doporučené postupy pro používání klíčů API
Vzhledem k jejich přístupu k citlivým datům a obecné zranitelnosti má bezpečné používání API klíčů prvořadý význam. Při používání klíčů API ke zlepšení jejich celkového zabezpečení můžete postupovat podle těchto doporučených postupů:
Často měňte klíče API. To znamená, že byste měli odstranit svůj aktuální klíč API a vytvořit nový. U více systémů je obvykle snadné generovat a mazat klíče API. Stejně jako některé systémy vyžadují, abyste si heslo měnili každých 30–90 dní, měli byste s podobnou frekvencí měnit i své API klíče.
Použít seznam povolených IP adres: Když vytvoříte klíč API, vytvořte seznam adres IP, které mohou klíč používat (povolený seznam IP adres). Můžete také zadat seznam blokovaných IP adres (IP blacklist). Tímto způsobem, i když je váš klíč API odcizen, nelze k němu získat přístup pomocí nerozpoznané IP.
Používejte více klíčů API: Mít více klíčů a rozdělovat mezi ně odpovědnosti sníží bezpečnostní riziko, protože vaše zabezpečení nebude záviset na jediném klíči s širokými oprávněními. Můžete také nastavit různé seznamy povolených IP adres pro každý klíč, což dále snižuje bezpečnostní riziko.
Bezpečné ukládání klíčů API: Neukládejte klíče na přístupných místech, na veřejných počítačích ani v jejich původním formátu prostého textu. Místo toho je ukládejte pomocí šifrování nebo správce hesel pro větší zabezpečení a dávejte pozor, abyste je nechtěně nevystavili.
Nesdílejte své klíče API. Sdílení klíče API můžete porovnat se sdílením hesla. Pokud tak učiníte, poskytnete druhé straně stejná oprávnění pro ověřování a autorizaci jako vy. V případě kompromitace může být váš klíč API ukraden a použit k hacknutí vašeho účtu. Klíč API by měl být používán pouze mezi vámi a systémem, který jej generuje.
Pokud je váš klíč API kompromitován, musíte jej nejprve deaktivovat, abyste předešli dalšímu poškození. V případě finanční ztráty pořiďte screenshoty klíčových informací souvisejících s incidentem, kontaktujte příslušné subjekty a podejte stížnost. To je nejlepší způsob, jak zvýšit své šance na vrácení ztracených finančních prostředků.
Závěr
Klíče API poskytují základní autentizační a autorizační funkce a uživatelé by měli své klíče spravovat a chránit pečlivě. Existuje mnoho úrovní a aspektů, které mohou zajistit bezpečné používání klíčů API. Celkově by se s klíčem API mělo zacházet jako s heslem vašeho účtu.
Více informací
Obecné zásady bezpečnosti
5 běžných podvodů s kryptoměnami a jak se jim vyhnout