中国信通院-应用程序接口-API-数据安全研究报告-2020年-_57页_7mb

应用程序接口（API）数据安全研究报告总结

核心内容概述

本报告由中国信息通信研究院安全研究所于2020年7月发布，旨在分析近年来API技术在数据安全方面所面临的挑战与风险，并提出针对性的安全建议。随着云计算、大数据、人工智能等技术的发展，API已成为数据交互与系统集成的重要工具，但其在开放性和灵活性的同时也带来了数据泄露、非法访问、网络爬虫等安全问题。报告从API的基本情况、安全态势、风险分析、安全建议和附录安全实践五个方面展开，全面梳理API安全现状。

主要观点

• API的重要性：API是数据交互和功能调用的核心通道，广泛应用于Web应用、移动应用、物联网等场景，成为推动“API经济”的关键。
• API安全问题凸显：API漏洞、身份认证缺失、数据暴露、异常调用等安全事件频发，对用户隐私、企业数据安全和业务连续性造成严重影响。
• API分类与组成要素：API可按开放程度分为开放API、面向合作方API和内部API；按核心技术分为SOAP、RESTful和RPC。API通常包括通信协议、域名、版本号、路径、请求方式、请求与响应参数、接口文档等组成要素。
• API安全标准逐步完善：我国在国家标准、通信、金融、交通等行业已发布多项API相关安全标准，但仍存在标准覆盖不全、执行不到位等问题。
• API安全需全生命周期管理：API安全应贯穿设计、开发、上线、运行、变更、下线等全过程，需建立事前、事中、事后不同阶段的防护机制。

关键信息

一、API基本情况

• 定义：API是预先定义的函数，用于程序间的数据交互和功能触发。
• 分类：
  • 按开放程度：开放API、面向合作方API、内部API。
  • 按核心技术：SOAP API、RESTful API、RPC API。
• 组成要素：包括通信协议（如HTTPS）、域名、版本号、路径、请求方式、请求与响应参数、接口文档等。

二、近年来API安全态势

• 典型案例：
  • Facebook：多次因API漏洞导致用户数据泄露，影响用户数量达数千万。
  • 美国邮政服务（USPS）：API漏洞导致6000万用户信息泄露。
  • T-Mobile：因API漏洞导致1500万用户账号被窃取。
  • Twitter：虚假账户利用API批量获取用户信息。
  • 考拉征信：非法出售API接口，导致个人信息泄露。
  • 新浪微博：用户查询接口被恶意调用，引发数据泄露。
  • 微信：收回小程序“用户实名信息授权”接口，加强用户信息保护。

三、安全风险分析

外部威胁因素

1. API漏洞导致数据非法获取：如未加密传输、身份认证缺失等。
2. API成为攻击目标：如重放攻击、DDoS攻击、注入攻击等。
3. 网络爬虫爬取数据：利用API接口获取大量数据，尤其在移动应用中更为常见。
4. 合作第三方非法留存接口数据：可能通过API获取并非法存储用户敏感信息。
5. API请求参数易被篡改：可能导致越权访问和数据泄露。

内部脆弱性因素

1. 身份认证机制不足：如单因素认证、弱密码、明文传输等。
2. 访问授权机制缺陷：如权限过大、未及时收回权限等。
3. 数据脱敏策略缺失：未对敏感数据进行脱敏处理，易造成信息泄露。
4. 返回数据筛选不足：导致大量数据被返回，存在暴露风险。
5. 异常行为监测不力：如内部员工非法获取数据、特权账号滥用等。
6. 特权账号管理不善：易被非法使用，造成数据泄露。
7. 第三方管理缺失：缺乏对第三方API的审计与管控，导致数据风险增加。

安全建议

事前

1. 统一API设计开发规范，减少安全隐患。
2. 强化API上线、变更、下线环节的实时监控，确保全生命周期安全。
3. 完善身份认证和授权管理机制，强化接口接入安全审核。
4. 健全API安全防护体系，提升抵御外部威胁的能力。
5. 加大API安全宣传力度，提高员工安全意识。

事中

1. 加强身份认证实时监控，识别异常登录行为。
2. 加强异常行为实时监测预警，防范内部违规与外部攻击。
3. 加强数据分类分级管控，确保敏感数据安全传输与展示。
4. 加强API数据流向监控，识别非法数据传输行为。

事后

1. 建立健全应急响应机制，及时处理安全事件。
2. 建立健全日志审计机制，记录与分析接口调用行为。
3. 建立健全数据泄露溯源追责机制，精准识别泄露路径与责任人。

关键安全实践

全知科技API安全实践

• 开放API：建立API生命周期监控、认证授权、防爬虫与防泄漏机制。
• 面向合作方API：建立供应商接口管理制度，实施敏感数据保护策略、账号异常行为监测和自动化审计与溯源。
• 内部API：加强身份验证、敏感信息展示监测、账号风险监测、数据行为威胁监控、特权账号行为审计及自动化数据泄露溯源追责。

观安API安全实践

• 安全方案：包括接口敏感级别梳理、深度分析系统、行为轨迹描绘等。
• 技术手段：协议解析、数据分类分级、敏感数据识别、API全盘发现、流量数据采集、审计告警、异常数据流动行为检测、回溯取证、API数据安全态势分析、数据挖掘等。
• 实践应用：包括运营商计费类API安全防护、互联网企业认证API对外开放安全措施等。
• 发展趋势：AI与机器学习技术在API安全中的应用，未来将向DNS安全、智能设计、全栈防护等方向发展。

爱加密API安全实践

• 安全方案：涵盖源代码防护、数据传输检测、API安全性检测与数据传输检测。
• 技术手段：包括自动化业务检测、VMP代码加固、API探针技术等。
• 实践应用：
  • 运营商计费类API防护：通过代码加固、运行监控、二次验证等方式防止API被破解。
  • 互联网企业认证API防护：通过源代码混淆、日志检测、威胁感知探针等方式防止恶意调用。
• 产品研发：建立移动SDK/API资产互联网监控平台，提供全质量常态监测服务与API风险预警能力。

总结

本报告系统分析了API在当前技术环境下的安全现状与风险，并提出从事前、事中、事后三个阶段的安全管理建议，涵盖身份认证、访问授权、数据脱敏、异常行为监测、数据流向监控、应急响应、日志审计及数据溯源追责等方面。同时，报告介绍了全知科技、观安、爱加密等企业在API安全方面的实践与技术手段，为API安全防护提供了可借鉴的方案。