Sicurezza delle API in sintesi
- La piaga di BOLA (Broken Object Level Authorization): Modificando l'ID nella chiamata API un utente può accedere ai dati di altri utenti senza autorizzazione.
- Limiti dei comuni scanner: I normali scanner web non comprendono la struttura degli endpoint JSON o dei token JWT.
- Rischio sanzioni nLPD: Una falla di API che consenta il download dell'intero database clienti espone direttamente a pesanti sanzioni.
1. Vulnerabilità critiche OWASP API Top 10
| Classificazione OWASP | Tipologia vulnerabilità | Rischio operativo concreto |
|---|---|---|
| API1:2023 - BOLA | Rottura autorizzazione a livello di oggetto | Accesso arbitrario ai dati di fatturazione di terzi cambiando il parametro utente. |
| API2:2023 - Broken Authentication | Autenticazione compromessa | Token JWT con firma non verificata o scadenze eccessivamente lunghe. |
| API4:2023 - Unrestricted Resource Consumption | Assenza di rate limiting | Possibilità di saturare le risorse server o estrarre interi archivi massivamente. |
