Conception de la passerelle API : contrôle des droits de l'interface RESTful

Que peuvent faire les IP proxy lorsque les API entrent en conflit avec le contrôle des privilèges ?

Récemment, beaucoup d'amis qui font du développement d'API se sont plaints que leur propre interface est toujours appelée par un inconnu. C'est comme si votre porte de sécurité était déverrouillée, n'importe qui peut entrer et prendre des choses. C'est le moment de s'appuyer surProxy IP + contrôle des privilègesC'est maintenant la paire d'or. L'IP proxy équivaut à l'émission d'une carte d'accès temporaire pour chaque visiteur, et le contrôle d'autorité est la liste des visiteurs entre les mains de l'agent de sécurité.

Prenons le cas de nos clients ipipgo, une plateforme de commerce électronique qui recevait à l'origine plus de 2 000 requêtes par minute de la part du robot-brosse. Après avoir utilisé notre pool de proxy dynamiques, nous avons d'abord filtré le trafic suspect au moyen d'une liste blanche d'adresses IP, puis nous avons utilisé la technologiealgorithme du seau à jetonsEn contrôlant la fréquence des appels par IP, les demandes malveillantes sont désormais directement réduites de 90 %.

Trois conseils pour la protection de l'interface

Voici quelques conseils pratiques pour les hommes :

Conseil n° 1 : Authentification IP

Ne soyez pas stupide et ne vous contentez pas d'utiliser la clé API et de mettre un gilet d'IP proxy sur chaque requête. C'est comme aller à la banque et devoir montrer sa carte d'identité (clé) et vérifier son numéro de téléphone portable réservé (attribution d'IP). Notre service proxy ipipgo prend en chargeAttribution géographique d'adresses IPLes entreprises nord-américaines utiliseront l'IP ouest des États-Unis, et les entreprises nationales seront automatiquement dirigées vers le nœud de Hangzhou.

Conseil n°2 : Limitation du trafic

Proposer un mécanisme de double assurance :

Conseil n° 3 : les crises anormales

Les situations suivantes sont directement inscrites sur la liste noire :

- La même IP proxy change 3 clés API en 5 secondes
- Les paramètres de la requête contiennent des caractères spéciaux SQL
- Augmentation soudaine du trafic de 10 fois entre 2 et 5 heures du matin

C'est le moment recommandé pour utiliser le logiciel ipipgoInterface de blocage IP en temps réelSi vous constatez une anomalie, vous pouvez appeler directement l'API pour exclure l'IP en question de la liste blanche.

Guide pratique pour éviter la fosse

Trois erreurs courantes commises par les débutants :

1. l'IP du proxy comme clé principale (en fait avec le cryptage HTTPS)
2. les politiques d'autorisation sont écrites dans le code (elles devraient être ajustées dynamiquement par l'intermédiaire du backend d'administration d'ipipgo)
3. ignorer les contrôles de qualité des adresses IP (certains fournisseurs de proxy ont depuis longtemps leurs adresses IP étiquetées comme étant à haut risque)

séance de questions-réponses

Q : L'utilisation d'une adresse IP proxy affecte-t-elle la vitesse de réponse de l'API ?
R : Choisir le bon fournisseur de services ne pose aucun problème. Comme la ligne de transit BGP d'ipipgo, la latence mesurée est inférieure de 15 ms à celle de la connexion directe, mais il faut veiller à ne pas programmer des IP entre les continents, par exemple les utilisateurs européens ne doivent pas utiliser les nœuds asiatiques.

Q : Quelle est la différence entre un agent libre et un agent rémunéré ?
R : Disons que les serveurs mandataires gratuits sont comme les serviettes en papier dans les toilettes publiques, ils peuvent disparaître un jour. Le pool commercial de serveurs mandataires d'ipipgo est composé de3 millions + IP résidentielleNous disposons également d'une équipe dédiée à la conformité qui effectue des audits.

Q : Comment éviter que la clé API ne soit piratée à l'envers ?
A : Je vais vous apprendre une astuce : lier la clé à l'IP du proxy, même si la clé est divulguée, elle est inutile si le hacker ne fait pas partie de la whitelist. Même si la clé est divulguée et que l'IP utilisée par le hacker n'est pas dans la whitelist, c'est inutile. La console d'ipipgo a cette option de configuration, il suffit de cocher "joint IP-key authentication".

Dites quelque chose qui vient du cœur.

Contrôler les privilèges revient à mettre des gilets pare-balles sur les API, et les IP proxy sont des plug-ins pare-balles. N'attendez pas d'être attaqué pour penser à vous protéger, utilisez dès maintenant l'offre pour nouveaux arrivants d'ipipgo et bénéficiez des trois premiers mois gratuits !Débit 50G. Leur fonction de routage intelligent est un vrai régal, car elle évite automatiquement les segments IP marqués, ce qui vous épargne beaucoup de travail par rapport à la mise à jour manuelle d'une liste noire.

Enfin, j'aimerais vous rappeler que la politique de permissions n'est pas une solution unique et qu'il est recommandé d'effectuer un test de pénétration une fois par mois. En cas d'incertitude, il faut s'adresser directement au système de bons de travail d'ipipgo pour obtenir une assistance technique ; les ingénieurs ont traité une grande variété de cas d'attaques étranges, et leur expérience est très grande.