Klucz interfejsu programowania aplikacji (API) to unikalny kod używany przez interfejs API do identyfikacji aplikacji lub użytkownika wysyłającego żądanie. Klucze API służą do śledzenia i kontrolowania, kto i w jaki sposób korzysta z API, a także do uwierzytelniania i autoryzacji aplikacji, podobnie jak działają nazwy użytkowników i hasła. Klucz API może mieć postać pojedynczego klucza lub zestawu kluczy. Użytkownicy powinni przestrzegać najlepszych praktyk, aby poprawić swoje ogólne bezpieczeństwo przed kradzieżą klucza API i uniknąć konsekwencji naruszenia bezpieczeństwa klucza API.
API i klucz API
Aby zrozumieć, czym jest klucz API, musisz najpierw zrozumieć, czym jest API. Interfejs programowania aplikacji lub API to pośrednik w oprogramowaniu, który umożliwia dwóm lub większej liczbie aplikacji współdzielenie informacji. Na przykład interfejs API CoinMarketCap umożliwia innym aplikacjom pobieranie i wykorzystywanie danych kryptograficznych, takich jak cena, wolumen i kapitalizacja.
Klucz API występuje w różnych formach: może to być pojedynczy klucz lub zestaw kluczy. Różne systemy używają tych kluczy do uwierzytelniania i autoryzacji aplikacji, podobnie jak nazwa użytkownika i hasło dla danej osoby. Klucz API jest używany przez klienta API do uwierzytelniania aplikacji żądającej API.
Na przykład, jeśli Binance Academy chce korzystać z API CoinMarketCap, klucz API zostanie wygenerowany przez CoinMarketCap i użyty do uwierzytelnienia tożsamości Binance Academy (klienta API), która żąda dostępu do API. Kiedy Binance Academy uzyskuje dostęp do API CoinMarketCap, ten klucz API musi zostać wysłany do CoinMarketCap wraz z żądaniem.
Ten klucz API powinien być używany wyłącznie przez Binance Academy i nie powinien być udostępniany ani wysyłany innym osobom. Udostępnienie tego klucza API umożliwi stronie trzeciej dostęp do CoinMarketCap jako Binance Academy, a wszystkie działania tej strony trzeciej będą wyglądać tak, jakby pochodziły z Binance Academy.
Klucz API może być również wykorzystany przez API CoinMarketCap do potwierdzenia, czy aplikacja ma autoryzację dostępu do żądanego zasobu. Ponadto właściciele interfejsów API używają kluczy API do monitorowania aktywności interfejsu API, np. różnych typów żądań, ruchu i liczby żądań.
Co to jest klucz API?
Klucz API służy do kontrolowania i śledzenia tego, kto korzysta z API i w jaki sposób z niego korzysta. Termin „klucz API” może mieć różne znaczenia w różnych systemach. Niektóre systemy mają jeden kod, ale inne mogą mieć wiele kodów dla jednego „klucza API”.
Jako taki „klucz API” to unikalny kod lub zestaw unikalnych kodów używanych przez interfejs API do uwierzytelniania i autoryzacji użytkownika lub aplikacji wysyłającej żądanie. Niektóre kody służą do uwierzytelniania, a inne do tworzenia podpisów kryptograficznych w celu potwierdzenia zasadności żądania.
Te kody uwierzytelniające są powszechnie nazywane „kluczem API”, natomiast kody używane do podpisów kryptograficznych mają różne nazwy, takie jak „klucz tajny”, „klucz publiczny” lub „klucz prywatny”. Uwierzytelnienie polega na identyfikacji podmiotów, których to dotyczy i potwierdzeniu ich są tym, za kogo się podają.
Z drugiej strony autoryzacja określa, do jakich usług API dozwolony jest dostęp. Funkcja klucza API jest podobna do nazwy użytkownika i hasła do konta. Można go również połączyć z innymi urządzeniami zabezpieczającymi, aby poprawić ogólne bezpieczeństwo.
Każdy klucz API jest zazwyczaj generowany dla konkretnego podmiotu przez właściciela API (więcej szczegółów poniżej) i za każdym razem, gdy do punktu końcowego API kierowane jest żądanie, które wymaga uwierzytelnienia lub autoryzacji ze strony użytkownika API, lub obu, używany jest odpowiedni klucz .
Podpisy kryptograficzne
Niektóre klucze API wykorzystują podpisy kryptograficzne jako dodatkową warstwę weryfikacji. Gdy użytkownik chce wysłać określone dane do API, do żądania można dodać podpis cyfrowy wygenerowany przez inny klucz. Za pomocą kryptografii właściciel API może sprawdzić, czy ten podpis cyfrowy jest zgodny z przesłanymi danymi.
Podpisy symetryczne i asymetryczne
Dane udostępniane poprzez API mogą być podpisane kluczami kryptograficznymi, które można podzielić na następujące kategorie:
Klucze symetryczne
Polegają one na użyciu tajnego klucza zarówno do podpisywania danych, jak i weryfikacji podpisu. W przypadku kluczy symetrycznych klucz API i tajny klucz są zazwyczaj generowane przez właściciela API i ten sam tajny klucz musi być używany przez usługę API do weryfikacji podpisu. Główną zaletą stosowania jednego klucza jest to, że jest szybszy w implementacji i wymaga mniejszej mocy obliczeniowej do generowania i weryfikacji podpisu. HMAC jest dobrym przykładem klucza symetrycznego.
Klucze asymetryczne
Polegają na wykorzystaniu dwóch kluczy: klucza prywatnego i klucza publicznego, które są różne, ale powiązane kryptograficznie. Klucz prywatny służy do generowania podpisu, a klucz publiczny służy do weryfikacji podpisu. Klucz API jest generowany przez właściciela API, ale para kluczy prywatny i publiczny jest generowany przez użytkownika. Do weryfikacji podpisu właściciel API powinien używać wyłącznie klucza publicznego, aby klucz prywatny mógł pozostać lokalny i tajny.
Główną zaletą stosowania kluczy asymetrycznych jest zwiększone bezpieczeństwo oddzielenia kluczy generujących podpis i weryfikujących. Dzięki temu systemy zewnętrzne mogą weryfikować podpisy bez możliwości ich wygenerowania. Kolejną zaletą jest to, że niektóre systemy szyfrowania asymetrycznego umożliwiają dodanie hasła do kluczy prywatnych. Dobrym przykładem są pary kluczy RSA.
Czy klucze API są bezpieczne?
Odpowiedzialność za klucz API ponosi użytkownik. Klucze API są podobne do haseł i należy je traktować z taką samą ostrożnością. Udostępnianie klucza API jest podobne do udostępniania hasła i jako takie nie powinno mieć miejsca, gdyż narażałoby to konto użytkownika na ryzyko.
Klucze API są często celem cyberataków, ponieważ można ich używać do wykonywania operacji na dużą skalę w systemach, takich jak żądanie danych osobowych lub wykonywanie transakcji finansowych. Rzeczywiście zdarzały się przypadki, gdy roboty indeksujące pomyślnie skanowały bazy danych kodów online w celu kradzieży kluczy API.
Konsekwencje kradzieży klucza API mogą być dramatyczne i prowadzić do znacznych strat finansowych. Dodatkowo, ponieważ niektóre klucze API nie wygasają, po kradzieży mogą być używane przez osoby atakujące przez czas nieokreślony, aż do momentu unieważnienia samych kluczy.
Najlepsze praktyki dotyczące używania kluczy API
Ze względu na dostęp do wrażliwych danych i ogólną podatność na zagrożenia, bezpieczne korzystanie z kluczy API ma ogromne znaczenie. Korzystając z kluczy API, możesz postępować zgodnie z poniższymi najlepszymi praktykami, aby poprawić ich ogólne bezpieczeństwo:
Często zmieniaj klucze API. Oznacza to, że powinieneś usunąć bieżący klucz API i utworzyć nowy. W przypadku wielu systemów zazwyczaj łatwo jest wygenerować i usunąć klucze API. Tak jak niektóre systemy wymagają zmiany hasła co 30-90 dni, tak i klucze API należy zmieniać z podobną częstotliwością.
Użyj białej listy adresów IP: podczas tworzenia klucza API utwórz listę adresów IP, które mogą używać tego klucza (biała lista adresów IP). Możesz także określić listę blokowanych adresów IP (czarną listę adresów IP). W ten sposób, nawet jeśli Twój klucz API zostanie skradziony, nierozpoznany adres IP nie będzie mógł uzyskać do niego dostępu.
Używaj wielu kluczy API: posiadanie wielu kluczy i podział obowiązków między nimi zmniejszy ryzyko bezpieczeństwa, ponieważ Twoje bezpieczeństwo nie będzie zależeć od jednego klucza z szerokimi uprawnieniami. Możesz także ustawić różne białe listy adresów IP dla każdego klucza, co jeszcze bardziej zmniejsza ryzyko bezpieczeństwa.
Bezpiecznie przechowuj klucze API: nie przechowuj kluczy w dostępnych miejscach, na komputerach publicznych ani w ich oryginalnym formacie zwykłego tekstu. Zamiast tego przechowuj je przy użyciu szyfrowania lub menedżera haseł dla większego bezpieczeństwa i uważaj, aby ich przypadkowo nie ujawnić.
Nie udostępniaj swoich kluczy API. Udostępnianie klucza API można porównać do udostępniania hasła. Dzięki temu inna strona uzyska takie same uprawnienia w zakresie uwierzytelniania i autoryzacji jak Ty. W przypadku naruszenia bezpieczeństwa Twój klucz API może zostać skradziony i wykorzystany do włamania się na Twoje konto. Klucz API powinien być używany wyłącznie pomiędzy Tobą a systemem, który go generuje.
Jeśli Twój klucz API został naruszony, musisz go najpierw dezaktywować, aby uniknąć dalszych szkód. W przypadku straty finansowej wykonaj zrzuty ekranu kluczowych informacji związanych ze zdarzeniem, skontaktuj się z odpowiednimi podmiotami i złóż reklamację. To najlepszy sposób na zwiększenie swoich szans na odzyskanie utraconych środków.
Wniosek
Klucze API zapewniają podstawowe funkcje uwierzytelniania i autoryzacji, a użytkownicy powinni ostrożnie zarządzać swoimi kluczami i chronić je. Istnieje wiele poziomów i aspektów, które mogą zapewnić bezpieczne korzystanie z kluczy API. Ogólnie rzecz biorąc, klucz API powinien być traktowany jak hasło do konta.
Więcej informacji
Ogólne zasady bezpieczeństwa
5 typowych oszustw związanych z kryptowalutami i jak ich unikać.