Ключ прикладного програмного інтерфейсу (API) – це унікальний код, що використовується в API для ідентифікації програми, або користувача, що викликається. API-ключі використовуються для відстеження та контролю того, хто і як використовує API, а також для аутентифікації та авторизації програм – аналогічно тому, як працюють імена користувачів та паролі. API-ключ може бути у вигляді одного ключа або набору кількох ключів. Користувачі повинні дотримуватись передових методів, щоб покращити свій загальний захист від крадіжки API-ключів та уникнути пов'язаних з цим наслідків компрометації їхніх API-ключів.
API та API-ключ
Щоб зрозуміти, що таке API-ключ, потрібно спочатку зрозуміти, що таке API. Прикладний програмний інтерфейс або API – це програмний посередник, який дозволяє двом або більше програм обмінюватися інформацією. Наприклад, API CoinMarketCap дозволяє іншим програмам отримувати та використовувати дані криптовалют, такі як ціна, об'єм та ринкова капіталізація.
API-ключ може бути різних форм. Це може бути один ключ або набір кількох ключів. У різних системах ці ключі використовуються для аутентифікації та авторизації програми аналогічно тому, як використовуються ім'я користувача та пароль. API-ключ використовується клієнтом API для аутентифікації програми, що викликає API.
Наприклад, якщо Binance Academy хоче використовувати API CoinMarketCap, API-ключ буде згенерований в CoinMarketCap і використаний для аутентифікації особи Binance Academy (клієнт API), яка запитує доступ до API. Коли Binance Academy отримує доступ до API CoinMarketCap, цей API-ключ слід надіслати в CoinMarketCap разом із запитом.
Цей API-ключ повинен використовуватися лише через Binance Academy, і його не можна спільно використовувати або надсилати іншим особам. Спільне використання цього API-ключа дозволить третій особі отримати доступ до CoinMarketCap як Binance Academy, і будь-які дії третьої особи будуть виглядати так, ніби вони походять від Binance Academy.
API-ключ також може використовувати API CoinMarketCap для підтвердження того, що програмі дозволений доступ до запитаного ресурсу. Крім того, власники API використовують API-ключі для моніторингу активності API, наприклад типів, трафіку та об'єму запитів.
Що таке API-ключ?
API-ключ використовується для контролю та відстеження того, хто використовує API та як його використовують. Термін "API-ключ" може означати різні речі для різних систем. Деякі системи мають один код, інші можуть мати кілька кодів для одного "API-ключа".
Таким чином, "API-ключ" – це унікальний код або набір унікальних кодів, що використовуються в API для аутентифікації та авторизації користувача або програми, що викликається. Деякі коди використовуються для аутентифікації, а інші – для створення криптографічних підписів, що підтверджують легітимність запиту.
Ці коди аутентифікації зазвичай називаються "API-ключем", тоді як коди, що використовуються для криптографічних підписів, мають різні назви, такі як "секретний ключ", "публічний ключ" або "приватний ключ". Аутентифікація передбачає ідентифікацію залучених осіб та підтвердження того, що вони є тими, за кого себе видають.
Авторизація, з іншого боку, вказує API-служби, до яких дозволено доступ. Функція API-ключа аналогічна функції імені користувача та паролю акаунту; його також можна підключити до інших функцій безпеки для підвищення загальної безпеки.
Кожен API-ключ зазвичай створюється для конкретного об'єкта власником API (докладніше див. нижче), і кожного разу, коли виконується виклик кінцевої точки API, що вимагає аутентифікації або авторизації користувача, або того й іншого, використовується відповідний ключ.
Криптографічні підписи
Деякі API-ключі використовують криптографічні підписи як додатковий рівень перевірки. Коли користувач хоче надіслати певні дані в API, до запиту може бути доданий цифровий підпис, згенерований іншим ключем. Використовуючи криптографію, власник API може перевірити, чи відповідає цей цифровий підпис надісланим даним.
Симетричні та асиметричні підписи
Дані, що надсилаються через API, можуть бути підписані криптографічними ключами, які відносяться до таких категорій:
Симетричні ключі
Це використання одного секретного ключа для підпису даних та перевірки підпису. При використанні симетричних ключів, API-ключ та секретний ключ зазвичай генеруються власником API, і однаковий секретний ключ повинен використовуватися службою API для перевірки підпису. Основна перевага використання єдиного ключа полягає в тому, що все відбувається швидше та вимагає менше обчислювальної потужності для генерації та перевірки підпису. Хорошим прикладом симетричного ключа є HMAC.
Асиметричні ключі
Це використання двох ключів: приватного ключа та публічного ключа, які різні, але криптографічно пов'язані. Приватний ключ використовується для створення підпису, а публічний ключ використовується для перевірки підпису. API-ключ генерується власником API, а пара приватного та публічного ключів створюється користувачем. Власник API повинен використовувати лише публічний ключ для перевірки підпису, так щоб приватний ключ залишався локальним та секретним.
Основною перевагою використання асиметричних ключів є вища безпека поділу генерації підписів та перевірки ключів. Це дозволяє зовнішнім системам перевіряти підписи без можливості їх генерувати. Ще однією перевагою є те, що деякі системи асиметричного шифрування підтримують додавання пароля до приватних ключів. Хорошим прикладом є пара ключів RSA.
Чи безпечні API-ключі?
Відповідальність за API-ключ лежить на користувачеві. API-ключі аналогічні паролям, і з ними потрібно поводитися з такою самою обережністю. Спільне використання API-ключа схоже на спільне використання пароля, і тому його не слід передавати іншим особам, оскільки це створить ризик для акаунту користувача.
API-ключі зазвичай стають метою кібератак, оскільки їх можна використовувати для виконання потужних операцій у системах, таких як запит особистої інформації або фінансових транзакцій. Насправді були випадки, коли пошукові роботи успішно атакували онлайн-бази даних коду, щоб вкрасти API-ключі.
Наслідки крадіжки API-ключів можуть бути серйозними та призвести до значних фінансових втрат. Крім того, оскільки деякі API-ключі не мають терміну дії, зловмисники можуть використовувати їхній необмежений час після крадіжки, доки самі ключі не будуть відкликані.
Рекомендації щодо використання API-ключів
Через їхній доступ до конфіденційних даних та їхню загальну вразливість, безпечне використання API-ключів має першорядне значення. Ви можете дотримуватися цих передових рекомендацій під час використання API-ключів, щоб підвищити їхню загальну безпеку:
Часто змінюйте API-ключі. Це означає, що ви повинні видалити свій поточний API-ключ і створити новий. З більшістю систем генерувати та видаляти API-ключі досить легко. Подібно до того, як деякі системи вимагають, щоб ви змінювали свій пароль кожні 30–90 днів, ви повинні змінювати API-ключі з такою самою частотою, якщо це можливо.
Використовуйте білий список IP-адрес: під час створення API-ключа складіть список IP-адрес, яким можна використовувати цей ключ (білий список IP-адрес). Ви також можете вказати список заблокованих IP-адрес (чорний список IP-адрес). Таким чином, навіть якщо ваш API-ключ буде вкрадено, до нього все одно не зможе отримати доступ невідома IP-адреса.
Використовуйте кілька API-ключів: наявність кількох ключів та поділ обов'язків між ними знизить ризик безпеки, оскільки ваша безпека не залежатиме від одного ключа з розширеними дозволами. Ви також можете встановити різні білі списки IP-адрес для кожного ключа, що ще більше знизить ризик вашої безпеки.
Безпечно зберігайте API-ключі: не зберігайте ключі у публічних місцях, на публічних комп'ютерах або у вихідному текстовому форматі. Натомість зберігайте кожен ключ за допомогою шифрування або менеджера паролів для більшої безпеки і будьте обережні, щоб випадково не розкрити їх.
Не повідомляйте нікому свої API-ключі. Спільне використання API-ключа аналогічно розкриттю вашого пароля. При цьому ви надаєте іншій стороні свої привілеї аутентифікації та авторизації. Якщо вони будуть скомпрометовані, ваш API-ключ може бути вкрадений і використаний для злому вашого акаунту. API-ключ повинен використовуватися лише між вами та системою, яка його генерує.
Якщо ваш API-ключ скомпрометовано, вам необхідно спочатку вимкнути його, щоб запобігти подальшій шкоді. Якщо виникли фінансові втрати, зробіть скріншоти з ключовою інформацією, пов'язаною з інцидентом, зв'яжіться з відповідними організаціями та напишіть заяву в поліцію. Це найкращий спосіб збільшити ваші шанси повернути втрачені кошти.
Підсумки
API-ключі забезпечують основні функції аутентифікації та авторизації, і користувачі повинні ретельно керувати своїми ключами та захищати їх. Існує безліч рівнів та аспектів забезпечення безпечного використання API-ключів. Загалом API-ключ слід розглядати як пароль до вашого акаунту.