El mercado OpenSea NFT advierte sobre el riesgo de terceros para su API.
Decrypt informa que OpenSea, un gran mercado en línea de tokens no fungibles (NFT) ha advertido a los usuarios de su API que deben intercambiar sus claves. Lo hagan o no, todas las claves caducan el 2 de octubre.
Exposición al riesgo de terceros.
Es un caso de riesgo de enésimas partes. Bitcoinista informa que el viernes uno de los proveedores de OpenSea, la empresa de análisis de datos blockchain Nansen, reveló que uno de sus propios proveedores externos había sido comprometido. El proveedor anónimo había informado a Nansen que una parte no autorizada había obtenido derechos de administrador sobre "una cuenta utilizada para proporcionar acceso al cliente a nuestra plataforma". Se dijo que alrededor del 6,8% de los clientes de Nansen se habían visto afectados. Por lo tanto, para los clientes de OpenSea, es un caso de riesgo dentro de riesgo dentro de riesgo.
La importancia de las claves comprometidas.
Las claves seguras y sin compromisos son esenciales para que el cifrado funcione correctamente. Jason Kent, hacker residente de Cequence Security, escribió: “Aunque la criptografía a menudo ayuda a proteger los datos en tránsito y permite que los usuarios autorizados lean los datos protegidos, todos sabemos que se centra en un entendimiento: debemos proteger la clave”. .”
Kent considera que los sistemas que permiten el uso de claves a largo plazo son inherentemente vulnerables a este tipo de compromiso. “En los sistemas que se utilizan automáticamente, a menudo ocurre que están configurados teniendo como prioridad el acceso a largo plazo pero, como se muestra aquí, se trata de un diseño deficiente. Si se puede acceder al repositorio de datos y las claves están comprometidas, existe una tormenta perfecta en la que un tercero malintencionado puede adquirir los datos. Rotar las claves es extremadamente importante, debe ocurrir temprano y con frecuencia; el almacenamiento de claves a largo plazo es la forma en que pueden ocurrir este tipo de infracciones”.
Anjum Ahuja, director SR de investigación de seguridad de Traceable AI, señaló otras cuestiones peculiares de las claves API. “Las claves API brindan acceso sin restricciones a la plataforma, evitando otros controles de seguridad como la autenticación de dos factores o CAPTCHA. Además, a menudo las claves API no tienen alcance, es decir, brindan acceso completo a todas las API disponibles. A los atacantes les encanta abusar de las API, ya que pueden automatizar y ejecutar rápidamente su ataque antes de que el objetivo pueda darse cuenta y tomar medidas correctivas”.
Ahuja agregó: “Una clave API bien diseñada debería requerir un alcance explícito para funciones y acciones específicas como lectura o escritura, una caducidad y preferiblemente un mecanismo de control de acceso basado en IP. OAuth es generalmente un mejor mecanismo de autorización porque implementa algunos de estos controles de forma inmediata”.
