Ключ інтерфейсу прикладного програмування (API) — це унікальний код, який використовується API для ідентифікації користувача або програми, що викликає. Ключі API використовуються для відстеження та контролю того, хто використовує API і як вони його використовують, а також для автентифікації та авторизації програм — подібно до того, як працюють імена користувачів і паролі. Ключ API може бути у формі одного ключа або набору кількох ключів. Користувачі повинні належним чином використовувати ключі API, щоб підвищити загальну безпеку від крадіжки ключів API та уникнути відповідних наслідків зламу їхніх ключів API.
Розрізняйте API та ключ API
Щоб зрозуміти, що таке ключ API, ви повинні спочатку зрозуміти, що таке API. Інтерфейс прикладного програмування або API (інтерфейс прикладного програмування) — це проміжне програмне забезпечення, яке дозволяє двом або більше програмам обмінюватися інформацією. Наприклад, API CoinMarketCap дозволяє іншим програмам отримувати та використовувати дані про криптовалюту, такі як ціна, обсяг і ринкова капіталізація.
Ключ API має багато різних форм — це може бути один ключ або набір ключів. Різні системи використовують ці ключі для автентифікації та авторизації програми, подібно до того, як використовуються імена користувачів і паролі. Ключ API використовується клієнтом API для автентифікації програми виклику API.
Наприклад, якщо Binance Academy хоче використовувати CoinMarketCap API, ключ API буде згенерований CoinMarketCap і використаний для автентифікації Binance Academy (додаток API), який запитує доступ до API. Коли Binance Academy отримує доступ до API CoinMarketCap, цей ключ API надсилається в CoinMarketCap разом із запитом.
Цей ключ API має використовуватися лише Binance Academy, його не можна ділитися чи надсилати іншим. Спільне використання цього ключа API дозволить третім особам отримувати доступ до CoinMarketCap як Binance Academy, і будь-які дії третіх сторін відображатимуться так, ніби вони виникли з Binance Academy.
API-ключ API також може використовуватися CoinMarketCap API, щоб підтвердити, чи має програма доступ до запитуваного ресурсу. Крім того, власники API використовують ключі API для відстеження активності API, наприклад типу запиту, трафіку та обсягу.
Що таке ключ API?
Ключі API використовуються для контролю та відстеження того, хто використовує API і як вони його використовують. Термін «ключ API» може означати різні речі для різних систем. Деякі системи мають один код, але інші можуть мати кілька кодів для одного «ключа API».
Таким чином, «ключ API» — це унікальний код або набір унікальних кодів, які використовуються API для автентифікації та авторизації користувача або програми, що викликає. Деякі коди використовуються для автентифікації, а деякі використовуються для створення криптографічного підпису для підтвердження легітимності запиту.
Ці ключі автентифікації часто називаються «ключами API», тоді як коди, які використовуються для криптографічних підписів, мають різні назви, наприклад «приватні ключі», «відкриті ключі» або «приватні ключі». Для автентифікації потрібно ідентифікувати залучених суб’єктів і підтвердити, що вони є тими, за кого себе видають.
З іншого боку, він дозволяє вказувати служби API, до яких дозволено отримати доступ. Функціональність ключа API подібна до імені користувача та пароля облікового запису; його також можна підключити до інших функцій безпеки для підвищення загальної безпеки.
Кожен ключ API зазвичай генерується власником API для певної сутності (докладніше нижче), і кожного разу, коли здійснюється виклик до кінцевої точки API — вимагає автентифікації або авторизації користувача, або обох — тоді використовуватиметься відповідний ключ.
Криптографічний підпис
Деякі ключі API використовують криптографічні підписи як додатковий рівень перевірки. Коли користувач хоче надіслати певні дані в API, до запиту можна додати цифровий підпис, згенерований іншим ключем. Використовуючи криптографію, власник API може перевірити, чи цей цифровий підпис відповідає надісланим даним.
Симетричні та асиметричні підписи
Дані, надані через API, можуть бути підписані криптографічними ключами, які належать до таких категорій:
Симетричні ключі
Вони включають використання секретного ключа для виконання як підпису даних, так і перевірки підпису. Для симетричних ключів ключ API і секретний ключ зазвичай генеруються власником API, і служба API повинна використовувати той самий секретний ключ для перевірки підпису. Основна перевага використання окремого ключа полягає в тому, що це швидше і вимагає менше обчислювальної потужності для створення та перевірки підпису. Хорошим прикладом симетричного ключа є HMAC.
Асиметричні ключі
Вони включають використання двох ключів: закритого ключа та відкритого ключа, які є різними, але пов’язані криптографічно. Закритий ключ використовується для створення підпису, а відкритий ключ використовується для перевірки підпису. Ключ API створюється власником API, а пару закритих і відкритих ключів створює користувач. Власнику API потрібно лише використовувати відкритий ключ для перевірки підпису, тому закритий ключ може залишатися локальним і секретним.
Головною перевагою використання асиметричних ключів є більша безпека розділення ключа генерації підпису та ключа перевірки. Це дозволяє зовнішнім системам перевіряти підпис без можливості генерувати підпис. Ще одна перевага полягає в тому, що деякі системи асиметричного шифрування підтримують додавання пароля до закритого ключа. Типовим прикладом є пара ключів RSA.
Чи безпечні ключі API?
Відповідальність за безпеку ключів API лежить на користувачі. Ключі API схожі на паролі, і з ними слід поводитися обережно. Спільне використання ключа API схоже на надання спільного доступу до пароля, тому не рекомендується, оскільки це створює ризик для облікового запису користувача.
Ключі API часто стають цілями кібератак, оскільки вони можуть використовуватися для виконання критичних операцій у системі, наприклад для запиту особистої інформації або виконання фінансових операцій. Насправді були випадки атак сканерів і онлайнових баз даних з метою викрадення ключів API.
Наслідки викрадення ключа API можуть бути серйозними та призвести до значних фінансових втрат. Крім того, оскільки термін дії деяких ключів API не закінчується, зловмисники можуть використовувати їх необмежений час після викрадення, доки самі ключі не будуть відкликані.
Як правильно використовувати ключі API
Оскільки він надає доступ до конфіденційних даних, безпечне використання ключів API має першочергове значення. Щоб підвищити загальну безпеку, ви можете дотримуватися цих передових методів використання ключів API:
Якомога частіше оновлюйте ключі API. Це означає, що вам слід видалити поточний ключ API і створити новий. У багатьох системах легко створювати та видаляти ключі API. Подібно до того, як деякі системи вимагають від вас змінювати пароль кожні 30–90 днів, ви повинні міняти свої ключі API з такою ж частотою, якщо це можливо.
Використовуйте білий список IP-адрес: коли ви створюєте ключ API, створіть список IP-адрес, яким дозволено використовувати ключ (білий список IP-адрес). Ви також можете вказати список заблокованих IP (чорний список IP). Таким чином, навіть якщо ваш ключ API буде вкрадено, до нього не зможе отримати доступ нерозпізнана IP-адреса.
Використовуйте кілька ключів API: наявність кількох ключів і розподіл відповідальності між ними зменшує ризики безпеки, оскільки ваша безпека не залежатиме від одного ключа з кількома дозволами. Ви також можете встановити різні білі списки IP-адрес для кожного ключа, ще більше зменшуючи ризики безпеки.
Надійно зберігайте ключі API: не зберігайте свої ключі в громадських місцях, на спільних комп’ютерах або в оригінальному текстовому форматі. Натомість зберігайте кожен з них із шифруванням або секретним менеджером для кращої безпеки та будьте обережні, щоб випадково не розкрити їх.
Не повідомляйте свої ключі API. Спільний доступ до ключів API схожий на обмін паролем. При цьому ви надаєте іншій стороні ті самі права автентифікації та авторизації, що й ви. Якщо їх зламано, ваш ключ API може бути викрадено та використано для злому вашого облікового запису. Ключ API слід використовувати лише між вами та системою, яка його згенерувала.
Якщо ваш ключ API зламано, вам потрібно спочатку вимкнути його, щоб уникнути подальшої шкоди. Якщо є якісь фінансові збитки, зробіть скріншот із ключовою інформацією про інцидент, зв’яжіться з відповідними підрозділами та надішліть звіт до поліції. Це найкращий спосіб збільшити ваші шанси на повернення втрачених коштів.
Резюме
Ключі API забезпечують основні функції автентифікації та авторизації, і користувачі повинні ретельно керувати своїми ключами та захищати їх. Є багато кроків і аспектів, щоб забезпечити безпечне використання ключів API. Загалом, вам слід сприймати ключ API як пароль для свого облікового запису.
Детальніше:
Загальні принципи безпеки
5 поширених шахрайств з криптовалютою та як їх уникнути