Οι ενότητες API απαιτούν όχι μόνο έλεγχο πρόσβασης, αλλά και διασφάλιση της γνησιότητας και της ακεραιότητας κάθε αιτήματος. Για να το κάνουμε αυτό, υποστηρίζουμε τις υπογραφές HMAC (Hash-based Message Authentication Code), καθώς και την κρυπτογράφηση του σώματος και των παραμέτρων των αιτήσεων, εξασφαλίζοντας την προστασία των δεδομένων ακόμα και όταν μεταδίδονται μέσω ανοικτών δικτύων.
Χρησιμοποιώντας το HMAC, κάθε μέρος (πελάτης και διακομιστής) επιβεβαιώνει ότι το αίτημα δημιουργήθηκε από ένα εξουσιοδοτημένο μέρος, δεν έχει αλλάξει κατά μήκος της διαδρομής και έχει κρυπτογραφημένο περιεχόμενο.
Τι εφαρμόζεται
| Μηχανισμός | Σκοπός και παροχές |
|---|---|
| Υπογραφές HMAC | Υπογραφή κάθε αίτησης με ιδιωτικό κλειδί |
| Έλεγχος ακεραιότητας | Επαλήθευση ότι το περιεχόμενο δεν μεταβλήθηκε κατά την αποστολή |
| Κρυπτογράφηση φορέα αίτησης | Χρήση AES ή RSA για την προστασία ευαίσθητων δεδομένων |
| Υπογραφή με χρονοσφραγίδα | Επανάληψη προστασίας επίθεσης |
| Υπογραφή παραμέτρων ερωτήματος | Επικύρωση συμβολοσειράς ερωτημάτων και ωφέλιμου φορτίου μέσω συνάρτησης hash |
Πώς λειτουργεί
1. Ο πελάτης δημιουργεί ένα σώμα αίτησης και προσθέτει μια χρονοσφραγίδα
2. Υπολογίζεται με HMAC (π.χ. ) με βάση το μυστικό και το περιεχόμενο
3. Η υπογραφή προστίθεται στην επικεφαλίδα (για παράδειγμα, «Υπογραφή Χ»)
4. Ο εξυπηρετητής επαληθεύει την υπογραφή, τη χρονοσφραγίδα και την έγκυρη IP
5. Αν η υπογραφή ταιριάζει, η αίτηση εκτελείται, διαφορετικά απορρίπτεται
Οφέλη για την ενσωμάτωση της API
Προστασία από υποκατάσταση ή στρέβλωση του αιτήματος
Ικανότητα ασφαλούς επικοινωνίας χωρίς TLS (σε κλειστά δίκτυα)
Αύξηση της εμπιστοσύνης στη σύνδεση δεδομένων
Ανεξαρτησία πλατφόρμας ή γλώσσας
Ευέλικτη εφαρμογή για διάφορους τύπους πελατών: ταμεία, πύλες, πάροχοι υπηρεσιών
Όπου είναι ιδιαίτερα σημαντικό
Ολοκλήρωση με συστήματα πληρωμών, μετρητών ή φορολογικών συστημάτων
API που λειτουργούν σε περιβάλλον πολλαπλών μισθώσεων ή εταίρων
Συστήματα με αυξημένες απαιτήσεις επαλήθευσης αιτήματος
Αλληλεπίδραση μεταξύ εσωτερικών υπηρεσιών χωρίς μόνιμη άδεια
Υπογραφή και κρυπτογράφηση HMAC είναι το κλείδωμα API σας κατά της παραποίησης και παραποίησης. Τέτοιοι μηχανισμοί σας επιτρέπουν να οικοδομήσετε αξιόπιστη ολοκλήρωση ακόμη και σε συνθήκες αυξημένων απαιτήσεων ασφάλειας.