Risiko E-Commerce Omnichanel terhadap Keamanan API

By Djalu Putranto - January 12, 2022

Risiko eCommerce Omnichanel terhadap Keamanan API

Antarmuka pemrograman aplikasi terutama untuk berterima kasih atas sebagian besar inovasi digital yang kita lihat hari ini (API). Perkembangan pesat hampir tidak mungkin tanpa API. Mengingat menghubungkan komputer, perangkat lunak, dan program komputer, API adalah suatu keharusan. Tetapi setiap kali ada tautan, mungkin ada kelemahan keamanan data.

API hampir selalu digunakan di front office, back office, dan aplikasi internal. Mereka penting untuk aplikasi seluler, SaaS, dan web modern. Tetapi menurut definisi, API membuat logika aplikasi dan data sensitif, seperti Informasi Identifikasi Pribadi, tersedia untuk umum (PII). Karena itu, penyerang keamanan basis data menganggap API sebagai target yang kaya.

Sementara itu, e-commerce omnichannel telah meningkat secara signifikan sebagai akibat dari tekanan pasar dan permintaan konsumen. Selain itu, ada risiko terhadap keamanan API.

Untuk informasi lebih lanjut mengenai eCommerce API, kami telah menulis artikel menyeluruh tentang mereka di sini: Plugin Ongkir Gratis 5 Juara Editor: ECommerce API.

Bersama-sama, API dan Omnichannel Berkembang

Antara 2016 dan 2020, jumlah Postman Collections (folder API yang memungkinkan pengembang untuk menggabungkan kueri API bersama-sama) melonjak dari kurang dari 500.000 menjadi sekitar 35.000.000. Ada sedikit keraguan bahwa penggunaan API akan tumbuh di masa depan.

Peningkatan besar dalam penggunaan API ini disebabkan oleh tiga perubahan utama:

Gunakan di beberapa perangkat: Untuk mendukung koneksi yang dibuat oleh beberapa perangkat sekaligus, diperlukan API.
Layanan mikro: Untuk bertransisi dari desain monolitik ke pengembangan berbasis layanan mikro yang lebih mudah beradaptasi, API diperlukan.
Beralih ke cloud: Pengembangan dan penerapan API kini diselesaikan lebih cepat dari sebelumnya berkat manfaat penyediaan cloud yang cepat.

Semua aktivitas API ini, sementara itu, diuntungkan dan didorong oleh pengembangan e-commerce multichannel.

Pendekatan multisaluran untuk penjualan yang dikenal sebagai “ritel omnichannel” menghasilkan pengalaman pelanggan yang mulus. Ini menunjukkan bahwa pengalaman tersebut konsisten di semua saluran, baik pengguna berbelanja dari perangkat seluler, PC, atau toko fisik. Dan tanpa API, pengembangan omnichannel tidak akan mungkin terjadi.

Konektivitas yang dipimpin API mengatasi masalah yang dihadapi pengecer saat mencoba mengumpulkan data dari banyak sistem dan kemudian menggabungkannya ke dalam gudang data besar. Informasi dapat menjadi usang ketika memasuki database karena setiap sistem diperbarui secara independen.

Pengecer dapat membuat jaringan aplikasi menggunakan API yang bertindak sebagai lapisan penghubung untuk penyimpanan data dan aset yang terletak di lokasi, di cloud, atau dalam pengaturan hibrid. Aplikasi seluler, situs web, gadget IoT, CRM, dan sistem ERP (manajemen pesanan, titik penjualan, manajemen inventaris, dan manajemen gudang) semuanya dapat berfungsi sebagai satu sistem kohesif yang menghubungkan dan bertukar data secara real-time sebagai konsekuensinya.

Meningkatnya Jumlah Pelanggaran Keamanan API

Kelemahan dari ekspansi dan pengembangan e-explosive commerce adalah peningkatan yang mengkhawatirkan dalam serangan keamanan API. Pelaku ancaman telah melakukan sejumlah peretasan penting terhadap aplikasi dengan wajah publik di area ini. Pengembang, misalnya, menghubungkan sumber daya seperti formulir pendaftaran web ke sistem backend yang berbeda melalui API. Namun, fleksibilitas tugas ini juga membuka pintu untuk serangan otomatis.

Menurut beberapa penilaian, aplikasi online atau API tipikal memiliki hampir 27 kerentanan kritis. Aplikasi dapat berjumlah ribuan atau bahkan ratusan ribu untuk sebuah organisasi. Oleh karena itu, fakta bahwa beberapa nama merek yang paling dikenal memiliki masalah keamanan terkait dengan API tidaklah mengejutkan.

Kerugian yang sebenarnya termasuk pencurian puluhan juta catatan pribadi individu, eksfiltrasi informasi pribadi tokoh-tokoh terkenal, dan kelemahan dalam rantai pasokan makanan.

Proyek Keamanan API OWASP

Daftar 10 hit teratas untuk serangan terkait API dibuat oleh OWASP sebagai tanggapan atas peningkatan risiko kerentanan API dan aplikasi. Berikut ini ringkasan singkatnya:

Otorisasi Level Objek Rusak di API 1: Titik akhir yang menangani ID objek dapat diekspos oleh API, meningkatkan permukaan serangan dan memperumit Kontrol Akses Level.
Otentikasi pengguna di API 2 rusak, yang memungkinkan serangan untuk mengkompromikan token otentikasi atau mencuri ID pengguna.
API 3 – Eksposur Data Berlebihan: Saat menggunakan implementasi generik, pengembang dapat mengekspos setiap properti objek tanpa memperhitungkan seberapa sensitif masing-masing.
API 4 – Kurangnya Sumber Daya & Pembatasan Tarif: Banyak API tidak membatasi jumlah atau ukuran sumber daya yang mungkin diminta oleh klien/pengguna. Akibatnya, serangan DDoS atau brute force dapat menjadi lebih mudah.
API 5 – Otorisasi Tingkat Fungsi Rusak: Masalah otorisasi dapat disebabkan oleh akses yang rumit dan pengaturan kontrol administrasi. Sumber daya pengguna dan/atau tugas administratif lainnya diekspos dengan cara ini.
API 6 – Penugasan Massal: Memodifikasi properti objek dimungkinkan ketika data yang disediakan klien (seperti JSON) dilampirkan ke model data tanpa daftar yang diizinkan.
Konfigurasi default yang tidak aman, konfigurasi yang tidak lengkap atau ad-hoc, penyimpanan cloud terbuka, header HTTP yang salah, metode HTTP yang tidak perlu, berbagi sumber daya Cross-Origin (CORS) permisif, dan pesan kesalahan verbose yang berisi informasi sensitif adalah semua contoh kesalahan konfigurasi keamanan yang dapat terjadi dengan API 7.
API 8 – Injeksi: Ketika data yang tidak dipercaya diberikan kepada juru bahasa sebagai bagian dari perintah atau kueri, kelemahan injeksi (SQL, NoSQL, Injeksi Perintah, dll.) terjadi. Perintah yang tidak sah dapat dilakukan oleh penerjemah berkat data berbahaya.
API 9 – Manajemen Aset yang Buruk: Karena API dapat mengekspos banyak titik akhir, dokumentasi yang akurat kini menjadi lebih penting. Menginventarisir host yang tepat dan versi API yang diterapkan sangat penting untuk mengurangi serangan.
API 10 – Pemantauan & Pencatatan yang Tidak Memadai: Penyerang dapat terus menyerang sistem, mempertahankan kegigihan, menyusup ke sistem lain, dan mengekstrak atau menghapus data ketika pencatatan dan pemantauan tidak mencukupi dikombinasikan dengan integrasi yang hilang atau buruk dengan respons insiden.

Penilaian & Mitigasi Kerentanan API

Bagaimana strategi manajemen ancaman API Anda dapat diperkuat mengingat risiko dan taruhan signifikan yang terlibat? Berikut adalah beberapa rekomendasi:

Simpan Daftar API

Mengetahui di mana API Anda, terutama yang berasal dari versi sebelumnya dan konteks lainnya, sangatlah penting. Mendokumentasikan titik akhir mana yang diekspos oleh setiap host API, mana yang bersifat publik (tidak memerlukan autentikasi), dan mana yang dapat diakses dari internet membantu meningkatkan keamanan API.

Gunakan Pengkodean yang Aman

Karena sebagian besar kerentanan API berasal dari kode, dorong pengembang Anda untuk mengikuti standar pengembangan yang aman. Pada tahap pengembangan, berikan penekanan pada kode aman.

Gunakan OAuth

Untuk keamanan API, kontrol akses untuk otentikasi dan otorisasi sangat penting. OAuth adalah kerangka kerja otentikasi berbasis token yang memungkinkan layanan pihak ketiga untuk mengakses informasi pengguna tanpa mengungkapkan kredensial pengguna. Beginilah cara situs web menggunakan Facebook dan Google untuk memberikan akses.

Pembatasan dan Pembatasan Nilai

Anda dapat menetapkan batasan kecepatan tentang seberapa sering API dapat dipanggil untuk melindungi dari serangan DDoS, lonjakan API, dan masalah kinerja lainnya. Pembatasan tarif menyeimbangkan ketersediaan dan akses untuk mengurangi kemacetan.

Menerapkan Gerbang API

Titik sentral penegakan lalu lintas API adalah gateway API. Anda dapat mengautentikasi lalu lintas, mengelola penggunaan API, dan melacak aktivitas API dengan gateway API yang andal.

Terapkan Jaring Layanan

Melalui penggunaan teknologi mesh layanan, administrasi dan kontrol API dimungkinkan. Untuk meningkatkan keamanan API, mesh layanan memastikan bahwa autentikasi yang benar, kontrol akses, dan tindakan keamanan lainnya bekerja sama.

Saat penggunaan layanan mikro meningkat, mesh layanan menjadi semakin penting. Saluran komunikasi potensial berlipat ganda secara eksponensial seiring dengan meningkatnya jumlah layanan. Dengan menetapkan kebijakan komunikasi, mesh layanan menawarkan cara yang konsisten untuk mengonfigurasi jalur komunikasi.

Sesuai dengan konfigurasi preset, mesh layanan mengatur lalu lintas komunikasi dan melengkapi layanan. Administrator dapat menyediakan konfigurasi ke mesh layanan dan menyelesaikan tugas itu alih-alih mengonfigurasi container yang sedang berjalan atau menulis kode untuk melakukannya.

Rangkullah Nol Kepercayaan

Zero trust adalah teori keamanan yang lebih besar yang menyatakan bahwa kecuali Anda dapat dibuktikan tidak bersalah, Anda adalah seorang penyerang. Untuk setiap perangkat, setiap program, dan setiap pengguna untuk mengakses sumber daya apa pun, zero trust menuntut verifikasi dan otorisasi.

E-commerce Membutuhkan API Aman

Pengalaman omnichannel akan terus berkembang dalam cakupan dan keragaman untuk merek yang bersaing. Penskalaan API akan serupa. Sangat penting untuk mengambil pendekatan proaktif terhadap keamanan API segera untuk melindungi klien, perusahaan, dan aset Anda.