Optus وواجهة API يستطيع أي أحد استدعاءها
تسرّبت بيانات ما يصل إلى 9.8 مليون أسترالي. التقارير تشير إلى واجهة API لا تتحقق ممن يطلب.
تقول Optus، ثاني أكبر شركة اتصالات في أستراليا، إن بيانات شخصية لما يصل إلى 9.8 مليون عميل حالي وسابق قد أُخذت، ومنها أرقام جوازات ورخص لبعضهم. وتقول التقارير إن البيانات جاءت عبر واجهة API مكشوفة على الإنترنت لا تتطلب أي تسجيل دخول. Optus تعترض على وصف الأمر بالبساطة. وفي كل الأحوال، السؤال لنا جميعًا واحد.
هل تعرف كل API تكشفه، وما الذي تتحقق منه كل واحدة؟
مشكلات شائعة أجدها:
- واجهات اختبار أو شركاء بقيت مفتوحة بعد انتهاء المشروع.
- معرّفات يمكن عدّها: غيّر
/customer/1001إلى/customer/1002فتحصل على عميل آخر. - بلا حدود للطلبات، فيستطيع عميل واحد تنزيل ملايين السجلات.
- إرجاع كل شيء، بينما الشاشة تحتاج ثلاثة حقول.
الحلول: قائمة بكل الواجهات، ومصادقة على كل نقطة، وتحقق أن الطالب يملك السجل، وحدود للطلبات، وتنبيهات على الأحجام غير المعتادة. واحتفظ ببيانات أقل، خصوصًا أرقام الهويات التي لا تحتاجها بعد التحقق من الشخص.