2015年,兩名網(wǎng)絡(luò)安全專家通過中間人攻擊的方式,對高速公路上的吉普車實現(xiàn)了遠(yuǎn)程控制。這次襲擊展示了中間人攻擊的危害性,也導(dǎo)致廠商召回了140萬輛汽車。未來79%的物聯(lián)網(wǎng)流量將通過網(wǎng)關(guān)接入,物聯(lián)網(wǎng)將貢獻(xiàn)超過500億的連接,物聯(lián)網(wǎng)因為其具有開放性、多源異構(gòu)性、泛在性等特性,API不僅成為生態(tài)系統(tǒng)之間的交互窗口,更是構(gòu)建混合業(yè)務(wù)平臺的基礎(chǔ),已經(jīng)有不少網(wǎng)絡(luò)攻擊者將API列為首選的入侵目標(biāo)之一,物聯(lián)網(wǎng)的安全關(guān)系到個人、家庭、社會、乃至國家的安全,種種安全威脅的出現(xiàn),也在不斷的提醒著我們:萬物互聯(lián),安全先行。
物聯(lián)網(wǎng)的設(shè)備形態(tài)和功能千奇百怪,從終端、無線接入、網(wǎng)關(guān),再到云平臺,涉及的環(huán)節(jié)眾多,要知道不少設(shè)備使用的操作系統(tǒng)也是不統(tǒng)一的,不是定制的就是非標(biāo)準(zhǔn)的,無形中為運維人員增加了負(fù)擔(dān)。而在工業(yè)和制造業(yè)場景中,一些產(chǎn)線上的物聯(lián)網(wǎng)設(shè)備服役時間長達(dá)數(shù)月或數(shù)年,但安全防護(hù)措施卻非常有限。數(shù)據(jù)顯示,平均每家企業(yè)管理的API數(shù)量超過360種,其中有接近70%的接口會向合作伙伴開放,而開發(fā)者則可以借助API庫豐富代碼選擇,規(guī)模往往會達(dá)到數(shù)萬量級。正因如此,才會說調(diào)用API對接數(shù)據(jù)流或觸發(fā)響應(yīng)幾乎貫穿了每個代碼級的交互流程。然而,存在于不同IT環(huán)境中的聯(lián)網(wǎng)設(shè)備,多數(shù)是由不同廠商“組裝”起來的,硬件、軟件、組件的提供方都不一樣。這種情況造成的困境之一是,有時候芯片升級了可對應(yīng)的軟件升級并沒有趕上,而安全補(bǔ)丁更新的時候組件又不支持。網(wǎng)絡(luò)應(yīng)用前端隨處可見的API逐漸變成了黑客攻擊的熱點,一旦端口被攻破隨之而來的就是大范圍的用戶信息外泄。通常,企業(yè)IT團(tuán)隊會通過API調(diào)用和管理云資源、服務(wù)編排、應(yīng)用鏡像等服務(wù),而這些服務(wù)的可用性很大程度上會依賴于API的安全性,尤其是在客戶引入第三方服務(wù)的時候,讓API暴露在了外部環(huán)境中。
API所面臨的挑戰(zhàn)往往會體現(xiàn)在幾個方面:外部攻擊、信息篡改、惡意跟蹤。首先還是老生常談的DDoS攻擊,其對關(guān)鍵API的入侵能導(dǎo)致網(wǎng)絡(luò)大面積癱瘓,并且占用大量計算資源使得程序中斷。此外,如果通過API建立聯(lián)系的用戶端和服務(wù)器端沒有經(jīng)過特殊加密,很容易造成信息泄露。其次是請求參數(shù)的篡改,采用https協(xié)議傳輸?shù)拿魑募用芎笠灿锌赡鼙缓诳徒孬@,進(jìn)而將數(shù)據(jù)包偽造發(fā)起重放攻擊。這時候,安全證書往往也是難以幸免的,因為黑客會讓需求發(fā)起方使用“仿制證書”通信,從而獲得看似已經(jīng)被加密的內(nèi)容。再有就是黑客會有意追蹤物聯(lián)網(wǎng)設(shè)備的端口,這樣可以直接獲得API的控制權(quán),或者向標(biāo)的引入惡意內(nèi)容設(shè)置漏洞陷阱。
物聯(lián)卡之家(boliszwz.cn)了解,目前已有不少云服務(wù)商使用API認(rèn)證或API網(wǎng)關(guān)來監(jiān)控代碼庫中API的狀態(tài),有數(shù)據(jù)顯示,超過60%的企業(yè)正在使用網(wǎng)絡(luò)應(yīng)用防火墻或API網(wǎng)關(guān)構(gòu)建混合方案來保護(hù)數(shù)據(jù)??梢哉f,API在復(fù)雜環(huán)境中扮演的角色愈發(fā)重要,自然也就成為了黑客的關(guān)注重點。除了要在應(yīng)用端建立防護(hù)措施,更要在代碼上線前對API進(jìn)行測試,盡力消除可能存在漏洞,將風(fēng)險降到更低。