Ключ програмного інтерфейсу програми (API) - це унікальний код, який використовується API для ідентифікації програми або користувача. API-ключі використовуються для відстеження та контролю того, хто і як використовує API, а також для аутентифікації та авторизації програм аналогічно паролям та логінам. API-ключ може являти собою один ключ або набір з кількох ключів. Користувачам варто приділяти увагу їхній безпеці, щоб захиститися від крадіжки та витоку даних.
API та ключ API
Щоб зрозуміти, що таке ключ API, необхідно спочатку розглянути сам API. Програмний інтерфейс програми, або API, - це програмний посередник, що забезпечує обмін інформацією між двома або більше програм. Наприклад, API CoinMarketCap дозволяє іншим програмам отримувати та використовувати дані про криптовалюти, такі як ціна, обсяг та ринкова капіталізація.
API-ключ може являти собою один ключ або набір з кількох ключів. Різні системи використовують ці ключі для аутентифікації та авторизації додатків, подібно до логін і паролів. API-ключ використовується клієнтом API для автентифікації програми, що викликає API.
Наприклад, якщо Binance Academy хоче використовувати API CoinMarketCap, то CoinMarketCap згенерує API-ключ і використовує його для автентифікації Binance Academy (клієнта API), який просить доступ до API. Коли Binance Academy звертається до API CoinMarketCap, ключ API відправляється в CoinMarketCap разом із запитом.
У цьому прикладі тільки Binance Academy може використовувати ключ API, не передаючи його третім особам. Передача цього API-ключа дозволить третій стороні отримати доступ до CoinMarketCap та виконувати дії від імені Binance Academy.
Крім цього, API CoinMarketCap може використовувати API-ключ для підтвердження того, що програма авторизована для доступу до запитуваного ресурсу. Власники API також можуть використовувати API-ключі для відстеження активності API, у тому числі типів, трафіку та обсягу запитів.
Що таке API-ключ
API-ключ використовується для контролю та відстеження того, хто та як використовує API. Сам термін "API-ключ" може мати кілька значень. Деякі системи мають лише один код, а інші – кілька кодів для одного ключа API.
Іншими словами, API-ключ — це унікальний код або набір унікальних кодів, що використовуються API для автентифікації та авторизації користувача або програми, що викликає. Одні коди використовуються для аутентифікації, інші — для створення криптографічних підписів, що підтверджують легітимність запиту.
Ці коди аутентифікації і називаються "API-ключом", тоді як коди для створення криптографічних підписів мають різні назви, такі як "секретний ключ", "публічний ключ" або "приватний ключ". Аутентифікація передбачає ідентифікацію залучених суб'єктів та підтвердження особи.
Авторизація, своєю чергою, визначає сервіси API, яких дозволено доступ. API-ключ працює аналогічно логіну та паролю облікового запису, а також може бути пов'язаний з іншими функціями захисту для підвищення загальної безпеки.
Власник API генерує кожен API-ключ спеціально для конкретного суб'єкта (докладніше про це нижче), і при кожному виклику кінцевої точки API з необхідністю автентифікації та авторизації користувача використовується відповідний ключ.
Криптографічні підписи
Деякі API-ключі використовують криптографічні підписи як додатковий рівень верифікації. Коли користувач хоче передати певні дані в API, до запиту можна додати цифровий підпис, згенерований іншим ключем. За допомогою криптографії власник API зможе перевірити відповідність цифрового підпису надісланим даним.
Симетричні та асиметричні підписи
Для підписання даних, що надсилаються через API, використовуються криптографічні ключі таких категорій:
Симетричні ключі
Вони передбачають використання одного секретного ключа для підписання даних та перевірки підпису. При використанні симетричних ключів власник API генерує ключ API і секретний ключ, який призначений для перевірки підпису сервісами API. Основна перевага використання одиничного ключа полягає в тому, що це прискорює процес генерації та перевірки підпису та вимагає менше обчислювальної потужності. Як приклад хорошого симетричного ключа можна навести HMAC.
Асиметричні ключі
Вони передбачають використання двох ключів: приватного та публічного, які відрізняються один від одного, але мають криптографічний зв'язок. Приватний ключ використовується для генерації підпису, а публічний - для перевірки. Власник API генерує API-ключ, а користувач - приватний та публічний ключі. Для перевірки підпису власник API використовує лише публічний ключ, тоді як приватний ключ зберігається у секреті.
Основна перевага використання асиметричних ключів – підвищена безпека за рахунок поділу задач генерації та перевірки підпису. Це дозволяє зовнішнім системам перевіряти підписи без можливості генерувати їх. Крім цього, деякі системи асиметричного шифрування підтримують додавання пароля до приватних ключів. Як приклад можна навести пару ключів RSA.
Безпека API-ключів
Відповідальність за безпеку API-ключа лежить на користувачеві. API-ключі виконують функцію паролів та вимагають такого ж обережного поводження. Не варто передавати API-ключ третім особам, оскільки це буде аналогічно передачі пароля і може надати обліковий запис ризику.
API-ключі нерідко стають мішенню кібератак, оскільки вони можуть бути використані для виконання важливих системних операцій, таких як запит особистої інформації або виконання фінансових транзакцій. Вже бували випадки, коли зловмисники атакували онлайн-бази даних із кодами та викрадали API-ключі.
Розкрадання API-ключів може призвести до негативних наслідків та значних фінансових втрат. Більше того, деякі API-ключі не мають терміну дії, тому зловмисники можуть використовувати їх до вимкнення ключів.
Поради щодо безпечного використання API-ключів
API-ключі відкривають доступ до конфіденційних даних, тому дуже важливо використовувати їх безпечним чином. Дотримуйтесь наступних рекомендацій щодо надійного застосування API-ключів:
Намагайтеся періодично змінювати API-ключі. Для зміни ключа необхідно видалити поточний ключ API і створити новий. При використанні декількох систем операції з видалення та генерації API-ключів не складно. Подібно до того, як деякі системи вимагають змінювати пароль кожні 30-90 днів, власники ключів повинні по можливості змінювати API-ключі з такою ж періодичністю.
Складіть білий список IP-адрес. Під час створення нового API-ключа складіть список IP-адрес, яким буде дозволено використовувати цей ключ (білий список IP-адрес). Крім цього, також можна вказати перелік заблокованих IP-адрес (чорний список IP-адрес). Тоді у разі розкрадання ключа нерозпізнана IP-адреса не зможе ним скористатися.
Використовуйте кілька ключів API. Наявність кількох ключів і розподіл завдань між ними знижує ризики, оскільки безпека облікового запису не залежатиме від одного ключа, який використовується відразу для всіх завдань. Крім цього, для кожного ключа можна скласти різні білі списки IP-адрес, тим самим значно підвищивши рівень безпеки.
Забезпечте безпечне зберігання API-ключів. Не зберігайте ключі у громадських місцях, на загальнодоступних комп'ютерах або у вихідному текстовому форматі. Для підвищення безпеки кожного ключа використовуйте шифрування або сервіс керування конфіденційними даними і будьте уважні, щоб їх випадково не розкрити.
Ні з ким не поділіться своїми API-ключами. Надати комусь API-ключ - все одно що надати пароль. У цьому випадку третя сторона отримує ті ж можливості автентифікації та авторизації, що й ви. У разі витоку даних API-ключ може бути вкрадений та використаний для злому облікового запису. API-ключ повинен застосовуватися тільки вами та системою, яка його генерує.
Якщо API-ключ потрапив до рук третіх осіб, обов'язково відключіть його, щоб запобігти подальшій шкоді. У разі фінансових втрат зробіть скріншоти ключової інформації про цей інцидент і зв'яжіться з відповідними організаціями, а також подайте заяву до поліції. Тож ви зможете підвищити свої шанси на повернення втрачених коштів.
На закінчення
API-ключі виконують функції автентифікації та авторизації, тому користувачі повинні зберігати їх у надійному місці та користуватися ними з обережністю. Існує безліч рівнів та способів забезпечення безпеки API-ключів. З API-ключом необхідно звертатися так само, як і з паролем до вашого облікового запису.
рекомендована література
Загальні принципи безпеки
5 поширених видів шахрайства з криптовалютами та як їх уникнути
