Programmatūras interfeisa pielietošanas (API) atslēga ir unikāls kods, ko izmanto API, lai identificētu lietotni vai lietotāju, kas ir pieprasījuma avots. API atslēgas tiek izmantotas, lai sekotu un kontrolētu, kas izmanto API un kā to izmanto, kā arī lai autentificētu un autorizētu lietotnes, līdzīgi kā lietotājvārdu un paroli darbība. API atslēga var būt unikālas atslēgas forma vai atslēgu komplekts. Lietotājiem jāievēro labākās prakses, lai uzlabotu savu kopējo drošību pret API atslēgu zādzību un izvairītos no sekām, kas saistītas ar to kompromitāciju.
API un API atslēga
Lai saprastu, kas ir API atslēga, vispirms jāizprot, kas ir API. Lietojumprogrammu programmēšanas saskarne jeb API ir programmatūras starpnieks, kas ļauj divām vai vairākām lietojumprogrammām dalīties ar informāciju. Piemēram, CoinMarketCap API ļauj citām lietojumprogrammām iegūt un izmantot kriptovalūtu datus, piemēram, cenas, apjomu un kapitālizāciju.
API atslēga var būt dažādās formās: tā var būt unikāla atslēga vai atslēgu kopums. Dažādas sistēmas izmanto šīs atslēgas, lai autentificētu un autorizētu lietojumprogrammu, tāpat kā lietotājvārdu un paroli indivīdam. API atslēga tiek izmantota ar API klientu, lai autentificētu lietojumprogrammu, kas pieprasa API.
Piemēram, ja Binance Academy vēlas izmantot CoinMarketCap API, CoinMarketCap ģenerēs API atslēgu, kas tiks izmantota, lai autentificētu Binance Academy identitāti (API klients), kas pieprasa piekļuvi API. Kad Binance Academy piekļūst CoinMarketCap API, šī API atslēga jānosūta CoinMarketCap kopā ar pieprasījumu.
Šī API atslēga jāizmanto tikai Binance Academy, un to nedrīkst dalīt vai nosūtīt citiem. Šīs API atslēgas dalīšana ļautu trešajai pusei piekļūt CoinMarketCap kā Binance Academy, un visas šīs trešās puses veiktās darbības parādīsies, it kā tās nāktu no Binance Academy.
API atslēga var tikt izmantota arī CoinMarketCap API, lai apstiprinātu, vai lietojumprogramma ir atļauta piekļūt pieprasītajai resursam. Turklāt API īpašnieki izmanto API atslēgas, lai uzraudzītu API darbību, piemēram, dažādus pieprasījumu veidus, satiksmi un pieprasījumu apjomu.
Kas ir API atslēga?
API atslēga tiek izmantota, lai kontrolētu un izsekotu, kurš izmanto API un kā to izmanto. Termins "API atslēga" var atšķirties atkarībā no sistēmām. Dažām sistēmām ir unikāls kods, bet citām var būt vairāki kodi vienai "API atslēgai".
Tādējādi "API atslēga" ir unikāls kods vai unikālu kodu kopums, ko API izmanto, lai autentificētu un autorizētu lietotāju vai lietojumprogrammu, kas veic pieprasījumu. Daži kodi tiek izmantoti autentifikācijai, bet citi – kriptogrāfisko parakstu izveidei, lai pierādītu pieprasījuma likumību.
Šie autentifikācijas kodi parasti tiek saukti par "API atslēgu", bet kodi, kas izmantoti kriptogrāfiskajiem parakstiem, ir ar citiem nosaukumiem, piemēram, "noslēpuma atslēga", "publiskā atslēga" vai "privātā atslēga". Autentifikācija ir saistīta ar to, lai identificētu attiecīgās puses un apstiprinātu, ka tās ir tieši tās, par kurām tās apgalvo.
Savukārt autorizācija nosaka API pakalpojumus, kuriem piekļuve ir atļauta. API atslēgas funkcija ir līdzīga lietotājvārda un konta paroli. To var arī saistīt ar citiem drošības līdzekļiem, lai uzlabotu kopējo drošību.
Katru API atslēgu parasti ģenerē konkrētai vienībai API īpašnieks (vairāk informācijas zemāk), un katru reizi, kad tiek veikts pieprasījums uz API galapunktu, kas prasa lietotāja autentifikāciju vai autorizāciju, vai abus, tiek izmantota attiecīgā atslēga.
Kriptogrāfiskie paraksti
Dažas API atslēgas izmanto kriptogrāfiskos parakstus kā papildus verificēšanas slāni. Kad lietotājs vēlas nosūtīt noteiktus datus uz API, pieprasījumam var pievienot digitālo parakstu, ko ģenerē cita atslēga. Izmantojot kriptogrāfiju, API īpašnieks var pārbaudīt, vai šis digitālais paraksts atbilst nosūtītajiem datiem.
Simetriskie un asimetriskie paraksti
Dati, kas tiek dalīti, izmantojot API, var tikt parakstīti ar kriptogrāfiskām atslēgām, kuras var klasificēt šādās kategorijās:
Simetriskās atslēgas
Tās ietver noslēpuma atslēgas izmantošanu gan datu parakstīšanai, gan paraksta verificēšanai. Ar simetriskajām atslēgām API atslēga un noslēpuma atslēga parasti tiek ģenerētas API īpašnieka, un tā pati noslēpuma atslēga jāizmanto API pakalpojumam paraksta verificēšanai. Galvenā priekšrocība, izmantojot vienu atslēgu, ir tā, ka to ir ātrāk īstenot un tā prasa mazāk aprēķinu jaudas paraksta ģenerēšanai un verificēšanai. HMAC ir labs simetriskās atslēgas piemērs.
Asimetriskās atslēgas
Tās ietver divu atslēgu izmantošanu: privātās atslēgas un publiskās atslēgas, kuras ir atšķirīgas, bet kriptogrāfiski saistītas. Privātā atslēga tiek izmantota paraksta ģenerēšanai, savukārt publiskā atslēga tiek izmantota paraksta verificēšanai. API atslēga tiek ģenerēta API īpašnieka, bet privātās un publiskās atslēgas pāris tiek ģenerēts lietotāja. Tikai publiskā atslēga jāizmanto API īpašniekam paraksta verificēšanai, lai privātā atslēga varētu palikt lokāla un slepena.
Galvenā priekšrocība, izmantojot asimetriskās atslēgas, ir drošība, kas palielinās, nodalot paraksta ģenerēšanas un verificēšanas atslēgas. Tas ļauj ārējiem sistēmām pārbaudīt parakstus, neesot spējīgiem tos ģenerēt. Vēl viena priekšrocība ir tā, ka daži asimetriskās šifrēšanas sistēmas ļauj pievienot paroli privātajām atslēgām. RSA atslēgu pāri ir labs piemērs.
Vai API atslēgas ir drošas?
Atbildība par API atslēgu gulstas uz lietotāju. API atslēgas ir līdzīgas parolēm un tām jāpievērš tāda pati uzmanība. API atslēgas dalīšana ir līdzīga paroles dalīšanai un, kā tāda, tai nevajadzētu notikt, jo tas apdraud lietotāja kontu.
API atslēgas bieži tiek mērķētas uz kiberdarbībām, jo tās var tikt izmantotas, lai veiktu plaša mēroga darbības sistēmās, piemēram, pieprasot personisko informāciju vai veicot finanšu darījumus. Tiešām ir bijuši gadījumi, kad indeksēšanas roboti ir spējuši analizēt tiešsaistes kodu datu bāzes, lai nozagtu API atslēgas.
API atslēgas zādzības sekas var būt dramatiska un izraisīt ievērojamus finansiālus zaudējumus. Turklāt, kā dažas API atslēgas neizbeidzas, tās var tikt izmantotas neierobežoti uzbrucēju vienreiz nozagšanas, līdz pašas atslēgas tiek anulētas.
Labas prakses API atslēgu izmantošanā
Ņemot vērā to piekļuvi jutīgiem datiem un to vispārējo ievainojamību, droša API atslēgu izmantošana ir ļoti svarīga. Jūs varat sekot šīm labajām praksēm, kad izmantojat API atslēgas, lai uzlabotu to kopējo drošību:
Bieži mainiet savas API atslēgas. Tas nozīmē, ka jums vajadzētu dzēst savu esošo API atslēgu un izveidot jaunu. Ar vairākiem sistēmām parasti ir viegli ģenerēt un dzēst API atslēgas. Tāpat kā daži sistēmas prasa mainīt jūsu paroli ik pēc 30 līdz 90 dienām, jums vajadzētu mainīt savas API atslēgas līdzīgā biežumā.
Izmantojiet IP baltās sarakstus: kad jūs izveidojat API atslēgu, izveidojiet atļauto IP sarakstu, kas var izmantot atslēgu (IP baltā saraksta). Jūs varat arī norādīt bloķēto IP sarakstu (IP melnā saraksta). Tādā veidā, pat ja jūsu API atslēga tiek nozagta, to nevarēs piekļūt no neatpazīstamas IP.
Izmantojiet vairākas API atslēgas: vairāku atslēgu izmantošana un atbildību sadalīšana starp tām samazinās drošības risku, jo jūsu drošība nenotiks tikai ar vienu atslēgu ar plašām atļaujām. Jūs varat arī izveidot atsevišķus IP baltos sarakstus katrai atslēgai, kas vēl vairāk samazina drošības risku.
Uzglabājiet API atslēgas droši: neuzglabājiet savas atslēgas pieejamās vietās, publiskajos datoros vai to sākotnējā formātā parastajā tekstā. Tā vietā uzglabājiet tās, izmantojot šifrēšanu vai paroli pārvaldnieku, lai uzlabotu drošību, un pārliecinieties, ka nejauši tās neizstādat.
Nesadaliet savas API atslēgas. Jūs varat salīdzināt API atslēgas dalīšanu ar paroles dalīšanu. To darot, jūs sniedzat citai pusei tādas pašas autentifikācijas un autorizācijas privilēģijas kā jums. Ja tās tiek apdraudētas, jūsu API atslēga var tikt nozagta un izmantota, lai uzlauztu jūsu kontu. API atslēga jāizmanto tikai starp jums un sistēmu, kas to ģenerē.
Ja jūsu API atslēga ir apdraudēta, vispirms to jādeaktivizē, lai novērstu papildu bojājumus. Finansiālu zaudējumu gadījumā veiciet ekrānuzņēmumus par galvenajiem incidenta saistītajiem informācijas, sazinieties ar attiecīgajām iestādēm un iesniedziet sūdzību. Tas ir labākais veids, kā palielināt iespējas atgūt zaudētos līdzekļus.
Secinājums
API atslēgas nodrošina būtiskas autentifikācijas un autorizācijas funkcijas, un lietotājiem ir rūpīgi jāpārvalda un jāsargā savas atslēgas. Ir daudz līmeņu un aspektu, kas var nodrošināt drošu API atslēgu izmantošanu. Kopumā API atslēga jāuzskata par jūsu konta paroli.
Vairāk informācijas
Vispārējie drošības principi
5 Biežas krāpšanas kriptovalūtās un kā tās izvairīties.