O Mercado OpenSea NFT Alerta Sobre Riscos De Terceiros Em Sua API.
Decrypt relata que OpenSea, um grande mercado online para tokens não fungíveis (NFTs) alertou os usuários de sua API que eles deveriam trocar suas chaves. Quer façam isso ou não, todas as chaves expirarão em 2 de outubro.
Exposição Ao Risco Da Enésima Parte.
É um caso de risco da enésima parte. Bitcoinista relata que na sexta-feira um dos fornecedores da OpenSea, a empresa de análise de dados blockchain Nansen, divulgou que um de seus próprios fornecedores terceirizados foi comprometido. O fornecedor não identificado informou a Nansen que uma parte não autorizada obteve direitos de administrador para “uma conta usada para fornecer acesso do cliente à nossa plataforma”. Cerca de 6,8% dos clientes da Nansen foram afetados. Assim, para os clientes da OpenSea, é um caso de risco dentro de risco dentro de risco.
A Importância Das Chaves Comprometidas.
Chaves seguras e descomprometidas são essenciais para que a criptografia funcione corretamente. Jason Kent, hacker residente da Cequence Security, escreveu: “Embora a criptografia muitas vezes ajude na proteção de dados em trânsito e permita que dados protegidos sejam lidos por usuários autorizados, todos sabemos que ela gira em torno de um entendimento: devemos proteger a chave .”
Kent vê os sistemas que permitem o uso de chaves a longo prazo como inerentemente vulneráveis a esse tipo de comprometimento. “Em sistemas que são usados automaticamente, muitas vezes acontece que eles são configurados com o acesso de longo prazo sendo uma prioridade, mas, como mostrado aqui, este é um projeto pobre. Se o repositório de dados estiver acessível e as chaves estiverem comprometidas, existe uma tempestade perfeita onde os dados podem ser adquiridos por terceiros mal-intencionados. A rotação das chaves é extremamente importante, deve acontecer cedo e com frequência. O armazenamento de chaves a longo prazo é como esses tipos de violações podem ocorrer.”
Anjum Ahuja, Diretor SR, Pesquisa de Segurança da Traceable AI, apontou outras questões peculiares às chaves de API. “As chaves API fornecem acesso irrestrito à plataforma, contornando outros controles de segurança, como autenticação de dois fatores ou CAPTCHA. Além disso, muitas vezes as chaves de API não têm escopo, ou seja, dão acesso completo a todas as APIs disponíveis. Os invasores adoram abusar de APIs, pois podem automatizar e executar rapidamente seus ataques antes que o alvo possa perceber e tomar medidas corretivas.”
Ahuja acrescentou: “Uma chave de API bem projetada deve exigir um escopo explícito para funções e ações específicas, como leitura ou gravação, expiração e, de preferência, um mecanismo de controle de acesso baseado em IP. OAuth é geralmente um mecanismo de autorização melhor porque implementa alguns desses controles prontos para uso.”
