Рынок OpenSea NFT предупреждает о стороннем риске для своего API.
Расшифровать сообщает что OpenSea, крупный онлайн-рынок невзаимозаменяемых токенов (NFT), предупредил пользователей своего API о необходимости поменять ключи. Независимо от того, сделают они это или нет, срок действия всех ключей истечет 2 октября.
Подверженность риску n-й стороны.
Это случай риска со стороны n-й стороны. Биткойнист сообщает что в пятницу один из поставщиков OpenSea, компания по анализу данных блокчейна Nansen, сообщила , что один из ее собственных сторонних поставщиков был скомпрометирован. Неназванный поставщик сообщил Нансену, что неавторизованная сторона получила права администратора «учетной записи, используемой для предоставления клиентам доступа к нашей платформе». Сообщается, что пострадало около 6,8% клиентов Nansen. Таким образом, для клиентов OpenSea это случай риска внутри риска внутри риска.
Значение скомпрометированных ключей.
Безопасные, нескомпрометированные ключи необходимы для правильной работы шифрования. Джейсон Кент, хакер-резидент Cequence Security, написал: «Хотя криптография часто помогает защитить передаваемые данные и позволяет авторизованным пользователям читать защищенные данные, мы все знаем, что она основана на одном понимании: мы должны защищать ключ .»
Кент считает, что системы, допускающие долгосрочное использование ключей, по своей сути уязвимы для такого рода компрометации. «В системах, которые используются автоматически, часто бывает так, что долгосрочный доступ является приоритетом, но, как показано здесь, это плохая конструкция. Если хранилище данных доступно, а ключи скомпрометированы, возникает «идеальный шторм», когда данные могут быть получены злонамеренной третьей стороной. Ротация ключей чрезвычайно важна, она должна происходить как можно раньше и часто, именно долгосрочное хранение ключей может привести к такого рода нарушениям».
Анджум Ахуджа, SR-директор по исследованиям безопасности в Traceable AI, указал на другие проблемы, связанные с ключами API. «Ключи API обеспечивают неограниченный доступ к платформе, минуя другие меры безопасности, такие как двухфакторная аутентификация или CAPTCHA. Более того, часто ключи API не имеют области видимости, т. е. дают полный доступ ко всем доступным API. Злоумышленникам нравится злоупотреблять API, поскольку они могут быстро автоматизировать и выполнить атаку до того, как цель заметит и предпримет меры по исправлению ситуации».
Ахуджа добавил: «Хорошо спроектированный ключ API должен требовать явной области действия для определенных функций и действий, таких как чтение или запись, срок действия и, желательно, механизм контроля доступа на основе IP. OAuth, как правило, является лучшим механизмом авторизации, поскольку он реализует некоторые из этих элементов управления «из коробки».
