API Authentication и Authorization

IRC-Mania Die Seite rund um Sicherheit und Programmierung

Internet, Sicherheit , Internet Relay Chat

Gesponsert

Authentication проверяет личность клиента, а Authorization определяет, какие действия клиент может выполнять.

Краткое описание

API Authentication и Authorization — два базовых механизма безопасности для интерфейсов. Authentication проверяет, кто получает доступ к API, например через API Keys, OAuth2 токены или сертификаты. Authorization решает, какие ресурсы и действия доступны аутентифицированному пользователю, обычно на основе ролей, разрешений или атрибутов. Хорошая архитектура безопасности чётко разделяет оба концепта, использует надёжную аутентификацию и проверяет разрешения для каждого endpoint’а. Если клиент прошёл аутентификацию, это не означает, что он может видеть или изменять все данные. Правильная реализация Authentication и Authorization защищает от утечки данных, несанкционированного доступа и манипуляций.

Ключевые компоненты

Authentication

Authentication — это процесс, который проверяет личность пользователя или клиента. Он отвечает на вопрос: кто ты? Распространённые методы включают пароли, API Keys, OAuth2 токены, клиентские сертификаты и биометрические факторы. Для API аутентификация обычно осуществляется через заголовки или токены.

Authorization

Authorization — это процесс, который после успешной аутентификации определяет, что разрешено. Он отвечает на вопрос: что ты можешь делать? Authorization основана на ролях, правах, владении ресурсами или атрибутах. Пользователь может быть аутентифицирован, но иметь только доступ на чтение к определённым данным.

API Keys

API Keys — это простые секретные строки, которые клиент отправляет при каждом запросе. Они легко реализуются, но менее безопасны, чем методы на основе токенов. API Keys подходят для внутренних или общедоступных интерфейсов с низким риском, но должны передаваться по TLS и регулярно обновляться.

OAuth2

OAuth2 — это фреймворк авторизации, который позволяет клиентам получать доступ к ресурсам от имени пользователя без разглашения пароля. Он определяет различные потоки: Authorization Code, Client Credentials, Implicit и Device Code. OAuth2 используется в современных веб и мобильных API.

OpenID Connect

OpenID Connect — это слой аутентификации на базе OAuth2. Он позволяет проверить личность пользователя и предоставляет ID Token с информацией типа имени и почты. OpenID Connect используется для Single Sign-On и аутентификации на основе пользователя.

JSON Web Tokens

JSON Web Tokens, сокращённо JWT, — это компактные самоописываемые токены, содержащие claims. Они состоят из заголовка, payload’а и подписи. JWT часто используются для API аутентификации и Authorization, но должны быть корректно подписаны и валидированы.

RBAC

RBAC — это Role-Based Access Control. Разрешения назначаются ролям, пользователи получают одну или несколько ролей. Например, администратор может всё, редактор только редактирует контент, зритель только читает. RBAC простой в понимании и широко распространён.

ABAC

ABAC — это Attribute-Based Access Control. Разрешения выводятся из атрибутов пользователя, ресурса и окружения. Пример: пользователь может редактировать файл только если он владелец и это рабочее время с 9 до 17. ABAC гибче чем RBAC, но и сложнее.

Multi-Factor Authentication

Multi-Factor Authentication требует несколько независимых доказательств личности, например пароль и одноразовый код. Для API MFA часто реализуется через дополнительные шаги проверки или аппаратные токены, особенно для чувствительных операций.

Least Privilege Принцип

Least Privilege гласит, что пользователи и клиенты получают только минимальные разрешения, необходимые для их задачи. Меньше разрешений снижает риск утечек данных и несанкционированных действий. Разрешения нужно регулярно проверять и обновлять.

Практический пример

Система управления документами предоставляет различные endpoint’ы для разных ролей. Authentication осуществляется через Bearer Token в заголовке Authorization.

GET /api/v1/documents
Authorization: Bearer eyJhbGciOiJIUzI1NiIs...

Сервер проверяет токен и определяет роль пользователя:

• Viewer получает только доступ на чтение.
• Editor может создавать и редактировать документы.
• Administrator может удалять документы и управлять пользователями.

Пример endpoint’а с RBAC:

DELETE /api/v1/documents/123
Authorization: Bearer eyJhbGciOiJIUzI1NiIs...

Editor получает 403 Forbidden, потому что у него нет разрешения на удаление. Administrator получает 204 No Content. Authentication и Authorization проверяются отдельно: сначала токен, потом разрешение.

IRC-Security.de

Cybersecurity Artikel und Tutorials

FAQ: API Authentication и Authorization

Продолжение обучения по API

Следующий материал в нашем курсе посвящен REST API Security: Authentifizierung, Autorisierung und Schutzmaßnahmen — полная защита REST-API с помощью OAuth, JWT, RBAC, CORS и Rate Limiting.

Источники

1. https://datatracker.ietf.org/doc/html/rfc6749
2. https://openid.net/connect/
3. https://datatracker.ietf.org/doc/html/rfc7519

Рекомендуемые книги по безопасности API

Если вы хотите углубиться в тему аутентификации API, авторизации и общей безопасности, рекомендуем следующие издания:

Premium VPS Hosting

Schnelle und sichere VPS Server

Gesponsert