P&P Secure, API Güvenlik Açıklarını Önlemek İçin Yetki Kontrol Sistemine Dikkat Çekti

person using macbook pro on white table — Dan Nelson / Unsplash

Son günlerde API (Uygulama Programlama Arayüzü) aracılığıyla kişisel verilerin sızdırılması olaylarının artması nedeniyle veri erişim yetkileri ve işleme süreçlerinin kapsamlı bir şekilde gözden geçirilmesi gerektiği vurgulandı.

Olay örnekleri, yalnızca giriş durumunun kontrol edilip, gerçek bilgi erişim yetkisinin doğrulanmadığını veya hizmete gereksiz kişisel verilerin API yanıtına dahil edildiğini ortaya koydu. En son API'lerde güvenlik önlemleri uygulanmış olsa bile, güvenlik yönetimi ihmal edilen eski sürüm API'lerin kötüye kullanılmasına yol açtığı bildirildi.

API, web ve mobil uygulamalar ile bulut ortamları arasında veri akışı sağlamaktadır. İstek standartları doğru ya da ilk giriş kimlik doğrulaması yapılmış olsa bile, o veriye erişim yetkisini garanti etmez. Bu nedenle, çağrı sahiplerine göre yetkilendirme kapsamı, erişim izni olan veri miktarı ve toplu tekrar çağrı durumu gibi unsurların birlikte doğrulanması gerekmektedir. Kişisel Verileri Koruma Kurulu, API tabanlı sızıntıları önlemek için minimum yetki verilmesi, toplu çağrıların engellenmesi, gereksiz yanıtların dışlanması ve kullanılmayan API'lerin düzenlenmesi önerisinde bulundu.

P&P Secure, yalnızca API'ler değil, web tabanlı iş ortamlarında erişim yetkileri ve gerçek eylemlerin birlikte yönetilmesi gerektiğini belirtti. İç iş sistemleri ve bulut yönetim konsoluna erişen kullanıcıların tanımlanması ve bağlantı sonrasında hangi işlemlerin gerçekleştirildiğinin izlenebilmesi için kontrol sisteminin zorunlu olduğu ifade edildi.