Security: APIs mit Keycloak absichern
Da APIs sensitive Daten übermitteln, sind sie häufig Ziel von Angriffen. Dazu zählt insbesondere die Authentifizierung. Keycloak hilft beim Absichern.
- Martin Reinhardt
Webanwendungen sind zahlreichen Bedrohungen ausgesetzt. Es lohnt sich, die neuesten Schwachstellen und Sicherheitslücken im Blick zu haben. Benchmarks solcher Schwachstellen gewährleisten Anwendungssicherheit, bevor ein Angriff erfolgt. Das Open Web Application Security Project (OWASP) ist eine vertrauenswürdige, gemeinnützige Stiftung, die Softwaresicherheitsanalysen veröffentlicht. Sie ist bekannt für ihre jährliche Zusammenstellung der wichtigsten Schwachstellen in Webanwendungen. Im Jahr 2019 hat sie auch eine Liste mit API-Sicherheitslücken veröffentlicht (siehe dazu den Artikel "IT-Security: APIs sicher entwickeln").
Dabei wird deutlich, dass Unternehmen Authentifizierung und Autorisierung im Blick haben sollten und auch beim Betrieb Probleme auftreten können, vor allem beim Rate Limiting, Logging und der Konfiguration: Häufig enthalten APIs nämlich keine Beschränkungen für die Größe und Anzahl der Ressourcen, die Clients/Nutzer anfordern können. Das wirkt sich nicht nur auf die Leistung des API-Servers aus und kann zu Denial of Service (DoS) führen, sondern öffnet auch die Tür für Authentifizierungsfehler wie Brute Force.
Fehlkonfigurationen finden sich aber auch im Sicherheitsbereich: Unsichere Standardkonfigurationen, falsch konfigurierte HTTP-Header, unnötige HTTP-Methoden, fälschlicherweise erlaubtes Cross-origin Resource Sharing (CORS) und ausführliche Fehlermeldungen mit sensiblen Informationen sind dabei nur einige Beispiele. Oft werden Attacken zu spät oder gar nicht erkannt, weil es Lücken in der Überwachung gibt. Durch Microservices und Self-contained Systems sind Softwaresysteme komplexer geworden, weshalb sicherheitsrelevante Themen über den gesamten Prozess hinweg zu lösen sind. Dabei bietet es sich an, die API hinter ein API-Gateway zu platzieren, das Funktionen wie Rate Limiting, IP Blocking und Authentifizierung hinzufügt oder festlegt.
Das war die Leseprobe unseres heise-Plus-Artikels "Security: APIs mit Keycloak absichern". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
