Autorizace objektů
Přístup k cizím záznamům změnou identifikátoru v cestě, parametru nebo těle požadavku.
Kde má test API těžiště
Orientační pohled, nikoli měření: 3 hlavní oblast testu, 2 běžná součást, 1 kontext nebo podle rozsahu, 0 mimo běžný rozsah.
| Oblast | Úroveň |
|---|---|
| Autentizace a relace | hlavní zaměření |
| Autorizace a oprávnění | hlavní zaměření |
| Vstupy a injekce | součást testu |
| Obchodní logika | hlavní zaměření |
| Konfigurace a expozice | součást testu |
| Data a tajemství | hlavní zaměření |
API rozhoduje o datech i bez uživatelského rozhraní
Uživatelské rozhraní může skrýt tlačítko, API ale zpracuje jakýkoli požadavek, který k němu dorazí. Proto testujeme přímo jednotlivé operace a ověřujeme, zda server vynucuje oprávnění a validaci sám.
Testujeme REST a GraphQL rozhraní, webhooky i API pro mobilní aplikace a partnery. Jiné typy rozhraní posoudíme podle zadání. Rozsah určuje hlavně počet operací, rolí a integrací.
- Autorizace na úrovni objektů, jejich vlastností a funkcí.
- Vydávání, platnost, rozsah a odvolání tokenů a klíčů.
- Validace vstupů, hromadné přiřazení vlastností a server-side request forgery.
- Limity, stránkování a spotřeba prostředků.
- Inventář verzí, prostředí a nezdokumentovaných operací.
- Zpracování dat přijímaných z API třetích stran.
Průběh testu a jeho pravidla
Začínáme specifikací, například OpenAPI nebo GraphQL schématem, a ukázkovými požadavky. Bez dokumentace test proběhne také, mapování ale zabere víc času a pokrytí může být užší.
Před testem potvrdíme písemnou autorizaci a pravidla testu (Rules of Engagement): prostředí, rozsah operací, testovací účty a tokeny, limity intenzity a postup okamžitého zastavení. Operace s dopadem na data nebo třetí strany, například platby či odesílání zpráv, předem vyloučíme nebo omezíme.
Kategorie rizik vycházejí z OWASP API Security Top 10 (vydání 2023), testovací postupy z OWASP WSTG. Jde o metodický rámec, nikoli o certifikaci ani záruku úplného pokrytí.
Typické kategorie nálezů
Vlastnosti a funkce
API vrací nebo přijímá vlastnosti, které volající nemá vidět ani měnit. Běžný uživatel volá administrátorské operace.
Tokeny a autentizace
Nedostatečně ověřené tokeny, příliš široký rozsah, chybějící odvolání nebo slabá ochrana přihlášení.
Limity a obchodní toky
Neomezená spotřeba prostředků, automatizovatelné citlivé operace, obejití stránkování nebo kvót.
Inventář a integrace
Zapomenuté verze a prostředí, server-side request forgery, nekriticky převzatá data z API třetích stran.
Každý nález doložený konkrétním požadavkem
Retest opravených nálezů a konzultace s vývojáři mohou na test navazovat podle nabídky.
- Shrnutí rizik a priorit pro vedení a vlastníka produktu.
- U každého nálezu požadavek, odpověď a kroky reprodukce bez zbytečných citlivých dat.
- Dotčené operace, role a verze API.
- Doporučenou opravu na úrovni návrhu i implementace.
- Rozsah, předpoklady a omezení testu včetně operací, které testovány nebyly.
Co od vás potřebujeme
- Specifikaci API nebo kolekci požadavků a popis hlavních obchodních toků.
- Testovací prostředí a účty či tokeny pro každou dohodnutou roli, ideálně dva od každé.
- Informaci o limitech, ochranných prvcích a operacích, které se nesmí volat.
- Kontakt na technickou osobu pro dotazy a eskalaci během testu.
