rest api güvenliği [yardım, soru]

arkadaşlar merhabalar,

uygulamalarınızda rest api güvenliğini nasıl sağlıyorsunuz? malum bazı recorder'lar ile rest api ler deşifre edilebiliyor. bu durumda facebook sms onayı veya bazı sms onayları hariç güvenliği nasıl sağlayabiliriz?

teşekkürler

Guvenlikten kastiniz REST API'lerinin dinlenememesi mi?

bir şekilde rest api ye sahip olunsa dahi, kullanılamaması

örneğin; e-ticaret uygulamamda ürünleri listeleyen veya ürün eklemeyi sağlayan rest apiler var, bunu recorder ile bulan kişinin kendi tarayıcısında bunu listeleyememesini veya ürün ekleyememesini istiyorum

En basit olarak token ekleyebilirsiniz. Saate bir token'nin yenilenmesini saglayarak, eski tokenlardan gelen requestleri kabul etmezsiniz.

ama bu durumda token uygulamaya dönerken yakalar, 1 saat boyunca saldırabilir değil mi



o zaman saldıran kişi de register formunu çalıştırınca kendine özel bir token sahip olmuş olur, kendi bilgisayarından tek user gibi saldırabilir değil mi

bu bahsi geçen herşeyi aşmanın yöntemi var.
eğer sunucu tarafı ve kullanıcı tarafı sizin tarafınızdan kodlanıyorsa
SSL pinning deneyebilirsiniz.
Aşılır ama en azından %50 60 gibi kitleyi sizden uzak tutar.
bkz instagram, facebook, twitter...
örnek ;
https://medium.com/@eniz.bilgin/andr...g-7fd236243f2b

benim demek istediğim formu çalıştırırken token oluşturmak değildi ama.
Sonuçta form xx domain ve xxx ip' sinde çalışacağını düşünürsek, ona da siz karar vereceğiniz için. O domain dışında gelen requestlere izin vermeyebilirsiniz. Benim dediğim yöntemde sadece referer olarak xx domainini ve aynı zamanda domain ile birlikte xxx ipsini gönderebilirse saldırabilir.

teşekkürler



Web site değilde, mobil uygulama olarak çalışıyor hocam

Yukarda ki arkadaşın da dediği gibi SSL Pinning ile yapılabilir fakat yinede bulmak isteyen kişi bulur. Bende test etmek için bir çok SSL Pinning üzerinde çalıştım Instagram ve Facebook'un bile GRAPHQL Apisini görebiliyorum. Banka uygulamalarında bile api gözüküyor . Hem token kullanıp , hem SSL Pinning , hem CORS , biraz da user-agent kontrolü vs vs diye güvenliği arttıraibilirsiniz. Ama şunu unutmayın hiç bir zaman tam güvenlik olmayacaktır