Sichere Entwicklung von API-Anwendungen

Anbieter zum Thema

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Neben mobilen Endgeräten rückt aktuell auch das Thema BYOD (Bring Your Own Device) in den Vordergrund, wenn es um Datensicherheit geht. Mitarbeiter bringen ihre eigenen Endgeräte mit zu ihrem Arbeitsplatz, in der Erwartung, diese über das Firmennetzwerk verwenden zu können. Eine Verbindung zum Internet lässt sich noch relativ einfach und sicher anbieten.

Soll das Endgerät jedoch auf firmeninterne Daten zugreifen, wird die Verwaltung schwieriger. Ein Ausweg kann auch hier die Verwendung von API-Keys sein. Firmen könnten Anwendungen für die geläufigsten Endgeräte entwickeln und dabei auch API-Keys und OAuth verwenden.

Die Verwaltung wäre durch den API Proxy handhabbar. Zudem kann die Möglichkeit genutzt werden, den API Proxy für interne und externe Anwendungen unterschiedlich zu konfigurieren. So lassen sich in Abhängigkeit des benutzten API-Keys beispielsweise OAuth-Token mit unterschiedlich langer Lebensdauer generieren.

Während der Entwicklung einer Anwendung kann in unterschiedlichen Umgebungen mit unterschiedlichen API-Keys und OAuth-Token gearbeitet werden. Ein API Proxy sollte in der Lage sein, allein durch Konfigurationsanpassungen, verschiedene Umgebungen zu unterstützen. So können, in Abhängigkeit vom Entwicklungsstadium der jeweiligen Anwendung, sowohl der Umfang der gelieferten Daten als auch die verwendeten Zugriffsrechte eingeschränkt werden.

Anforderungen an den API Proxy

Da ein API Proxy in der DMZ platziert wird, ist es eine Frage der Sicherheit, dass API-Keys und OAuth-Token nicht dort, sondern im internen Netzwerk verwaltet werden. Der API Proxy sollte zu keiner Zeit direkten Zugriff (z.B. durch eine direkte Datenbankverbindung) auf ein API Key Secret haben. Eine umfassende API-Proxy-Lösung besteht deshalb aus mindestens zwei Komponenten: einer im internen Netzwerk und einer in der DMZ.

Die Komponente im internen Netzwerk (SecureZone) erlaubt den Zugriff über eine eigene API. Sie umfasst einen Tokenstore (Verwaltung der OAuth-Token), einen Clientstore (Verwaltung der API-Keys) und einen OAuth Validation Point (OVP). Die Komponente in der DMZ stellt Endpunkte nach außen zur Verfügung, um z.B. OAuth-Token zu generieren und ruft die in der SecureZone angebotenen APIs selbständig auf, um z.B. Validierungen durchführen zu lassen.

Firmen mit externen Mitarbeitern, welche eingeschränkten Zugriff auf interne Daten haben sollen, sind im Besonderen Kandidaten für eine derartige Integration. Externe Mitarbeiter besitzen in der Regel bereits mobile Endgeräte, welche mit der Installation einer geeigneten Software leicht integriert wenden können. So lässt sich der sonst hohe Aufwand zusätzliche Hardware vorzuhalten vermeiden.

(ID:33247980)