¿Cuáles son las 10 principales vulnerabilidades de OWASP contra la seguridad de las API?

¿Cuáles son las 10 principales vulnerabilidades de OWASP contra la seguridad de las API?

El Open Web Application Security Project (Proyecto de Seguridad de Aplicaciones de la Red en Abierto u OWASP) es una organización sin fin de lucro cuyo objetivo es promover la seguridad de las aplicaciones de la red. La OWASP ofrece muchos recursos gratuitos para construir una aplicación web más segura.

Uno de los recursos más consultados de la organización es OWASP Top 10, que enumera los 10 mayores problemas de seguridad de la aplicación web. OWASP también mantiene una lista separada y similar para las interfaces de programación de aplicaciones (APIs), que son cruciales para impulsar la mayoría de las experiencias web y móviles.

Las APIs pueden impulsar ventajas competitivas para las empresas al proporcionar inteligencia empresarial, facilitar las implementaciones en la nube y permitir la integración de las capacidades de la IA. Pero al mismo tiempo las APIs pueden introducir nuevos riesgos al permitir que terceros accedan a la aplicación, compartan datos y ejecuten flujos de trabajo potencialmente confidenciales.

Este OWASP API Security Top 10, cuya última publicación es de 2023, destaca los problemas clave que las organizaciones deben abordar para proteger mejor sus APIs, aplicaciones y datos. La lista incluye:

1. Autorización a nivel de objeto roto: los atacantes pueden intentar explotar puntos finales de API vulnerables a la autorización a nivel de objeto roto. Podrían manipular los identificadores de objetos dentro de una solicitud para obtener acceso no autorizado a datos confidenciales.
2. Autenticación interrumpida: si la autenticación se implementa de forma incorrecta, los atacantes podrían hacerse pasar por los usuarios de la API y obtener acceso a datos confidenciales.
3. Fallo en la autorización a nivel de propiedad de objeto: la falta de autorización o una validación de autorización incorrecta a nivel de propiedad de objeto podría dejar la información expuesta o vulnerable a la manipulación por parte de personas no autorizadas.
4. Consumo de recursos sin restricciones: muchos APIs no limitan las interacciones de los clientes ni el consumo de recursos. Los atacantes podría generar un alto volumen de llamadas API, lo que puede aumentar los costes operativos y provocar una denegación de servicio.
5. Autorización a nivel de función interrumpida: el atacante podría enviar una llamada API legítima a un punto final al que no debería poder acceder. Pueden obtener acceso a los recursos o funciones administrativas de otros usuarios.
6. Acceso ilimitado a flujos comerciales confidenciales: las APIs pueden exponer un flujo comercial (como publicar un comentario en un sitio web, comprar un producto o hacer una reserva), lo que permite a los atacantes ejecutar ese flujo en exceso.
7. Falsificación de solicitud del lado del servidor: una API puede obtener un recurso remoto sin validar la URL proporcionada por el usuario. Por ejemplo, un usuario podría proporcionar una URL para cargar una imagen en una plataforma de redes sociales. Esa URL podría entonces iniciar un escaneo de puertos dentro de una red interna.
8. Gestión inadecuada del inventario: la API puede exponer más los puntos finales que las aplicaciones web tradicionales. Si las organizaciones no hacen un inventario de los hosts y las versiones de las APIs implementadas, podrían dejar versiones obsoletas de las APIs y puntos finales vulnerables.
9. Consumo no seguro de APIs: los atacantes podrían atacar servicios de terceros que interactúan con APIs en lugar de atacar directamente una API. Se dan cuenta de que los desarrolladores suelen confiar más en los datos de las APIs de terceros que en las entradas de los usuarios.

Para obtener más información sobre estos 10 riesgos de seguridad, consulta la página oficial de OWASP.

Hay cierto cruce entre el Top 10 de OWASP (lista completa aquí) y el Top 10 de OWASP API Security. Por ejemplo, la interrupción del control de acceso es el primer problema de la lista de los 10 principales problemas de OWASP, y hay varias formas de interrupción de la autenticación y la autorización entre los cinco primeros problemas de seguridad de la lista de las APIs. Además, la configuración errónea de la seguridad y la falsificación de solicitudes del lado del servidor aparecen en ambas listas.

Sin embargo, las APIs presentan varios riesgos distintos en comparación con la aplicación web. Los desarrolladores deben tener en cuenta ambas listas.

¿Cómo ayuda Cloudflare a abordar los riesgos de seguridad de las APIs?

Cloudflare API Gateway ayuda a mantener las APIs seguras y funcionando como deberían a través de las capacidades de detección de APIs, la gestión y supervisión centralizadas de las APIs, y las defensas innovadoras por capas. API Gateway forma parte de la cartera de soluciones de seguridad de aplicaciones de Cloudflare, que ofrece funciones adicionales para detener ataques de bots, DDoS y ataques de aplicación, al mismo tiempo que supervisa los ataques a la cadena de suministro.

Descubre cómo las capacidades de Cloudflare abordan los riesgos específicos detallados en el informe OWASP API Security Top 10. Descubre más soluciones de seguridad de las APIs de Cloudflare.