导航IoT Security Minefief：API安全性
随着物联网的快速发展，api的使用也随之增多。在物联网中，大多数设备通过RESTful API调用因为它们是物理设备通信的理想选择。另一方面，标准用户界面是用于用户消耗的。
虽然api更适合今天的业务模式，但它们也有自己的模式解决安全挑战。其中一个挑战是访问授权。
由于会话cookie对于IOT部署不切实际，开发人员通常会使用不同的授权方法，例如在成功的设备身份验证后发出JSON Web令牌。与登录Web门户的用户不同，执行几个任务并注销，IoT设备需要持续通信到云基础架构。为了简化实现，一些开发人员将选择所谓的“长期令牌”，这可能有效期几天甚至几周，而不是每隔几分钟的每隔几分钟旋转访问令牌的最佳实践。
不幸的是，简化实现也有其风险，因为攻击者有机会劫持并在发布后几天重复使用令牌。如果没有正确实现其他安全措施，例如TLS加密等其他安全措施，情况会进一步升级。
此外，即使在正确实现运输加密和授权技术时，仍有潜在的攻击向量可能是由于应用程序设计中缺乏安全协议而导致的潜在攻击向量。攻击，如SQL注入，可以对易受攻击的API端点执行，就像对常规web门户执行一样。由于大多数web应用程序防火墙(waf)仍然不解析或检查JSON输入。
挑战不会阻止那里 - 较新的，非HTTP协议，例如Websocket和CoAP这就带来了更大的问题。
解决方案?从一开始设计、构建和连接api时就要考虑安全性。在这样做时，主要要考虑以下五点:
- 强认证，理想情况下使用非对称加密和安全存储在设备上的私钥;
- 相对短暂的令牌。每30分钟至少旋转一次;
- TLS加密传输;
- 每个端点都需要实施标准的身份验证/授权。避免发布不受保护的端点;和
- 净化用户输入，即使它来自设备。恶意用户可以手动操作请求以利用错误的业务逻辑。
记住以上几点是关键的一步。此外，实现一个支持api的WAF在减轻安全问题和提供流的可见性方面还有很长的路要走。
API将继续在LockStep中增长，因此您现在需要开始考虑采用强大的安全策略来降低风险和保护客户。
所有IoT Agenda网络贡献者都对其帖子的内容和准确性负责。意见是作者的，不一定传达物联网议程的想法。