Melhores Práticas API REST - Autenticação

Truques para buscas
1. Exemplos
  1. Busca Global: /search?q=fluffy+fur
  2. Busca com escopo: /owners/5678/dogs?q=fluffy+fur
  3. Busca com resultados formatados: /search.xml?q=fluffy+fur
Exemplos de serviços de autenticação utilizados
1. PayPal Permissions Service API
2. Facebook OAuth 2.0
3. Twitter OAuth 1.0a
Toda chamada REST deve ser executada usando ssl (https), pois evita ataques do tipo man in the midle
Toda chamada deve ocorrer com chaves de API dedicadas
Todas chamadas REST devem ser autenticadas
Tipos de autenticação
1. Http Básica (Authtype basic)
  1. Utiliza a autenticação do apache, onde é configurado 'basic' e com utilização de arquivo de senha ou senhas gerenciadas pela aplicação
  2. Vantagens
    1. Está disponível desde o Http 1.0
    2. Api mantém apenas hashes
  3. Desvantagens
    1. Depende da configuração do webserver
    2. Nome do usuário e senha são transmitidos via base64
2. Autenticação de resumo (AuthType digest)
  1. Possui 2 elementos a mais do que a básica
    1. NONCE: string passada pela api para o cliente que deve ser enviada junto à requisição
      1. Geração do NONCE = MD5(TIMESTAMP:METHOD(GET):URI:PKEY)
    2. qop: verificador de qualidade de proteção
  2. Vantagens
    1. Senhas protegidas, utiliza troca de hash
    2. Http 1.0
    3. Utiliza NONCE e CNONCE, estes protegem contra ataques de ataque repetido, pois possui sincronismo entre api/cliente e também contra inserção de textos manipulados
  3. Desvantagens
    1. Complexidade maior que a básica
    2. Toda requisição deve passar pelo desafio (duplica cada requisição)
    3. Vulnerável a apis forjadas
3. Token de Usuário (WSSE)
  1. É uma extensão do SOAP
  2. Todo processo de autenticação é feito pela aplicação
  3. Desafio de autenticação contém:
    1. Defino o tipo WSSE
    2. Especifica o perfil e regras
  4. Desvantagens
    1. API mantém cópia da senha
    2. Desconsidera método, URI, conteúdo, etc
    3. Vulnerável à intercepções
  5. Vantagens
    1. Não envia senha pelo meio
    2. Não requer configuração do servidor
    3. Identifica servidor, evitando apis forjadas (outras API fingindo ser a sua)
4. Assinatura de Requisição Personalizada
  1. Utiliza Hmac com md5 e sha1
  2. Utiliza chaves simétricas
  3. Utilizar NONCE
  4. A chave pode ser transferida no login ou no momento do cadastro
  5. Políticas de segurança das chaves, revogadas, alteradas
  6. Vatagens
    1. Servidor identificável
    2. Senhas seguras
    3. Requisições indiretas
  7. Desvantagens
    1. Pode se tornar complexo
    2. Pode desagradar o desempenho
    3. Depende do suporte às bibliotecas
5. OAuth
  1. É utilizado pelo Facebook, Twitter, Github
6. Autenticação do Windows
  1. Depende dos protocolos suportados pelo Windows
  2. É seguro mesmo sem utilizar ssl (https)
  3. Requer os serviços e produtos da Microsoft (Active Directory)
A autenticação funciona como um selo de autenticidade que é enviado jungo com cada chamada
A API não utiliza sessão
O cliente consumidor de uma api não precisa utilizar cookies
Armazenamento no cliente consumidor da api
1. WebStorage -> Armazenar o estado da aplicação no cliente
2. SessionStorage -> Armazenar o estado de uma aplicação em uma página e o mesmo estado para outra página
3. LocalStorage -> manter informação de uma dia por outro (muito tempo)
Cada requisição em uma API REST deve ter os dados para autenticá-la

Media attachments

IMG (image/png)

Next up

Melhores Práticas API REST - Autenticação

Description

Resource summary

Media attachments

Similar

	Created by Edvaldo Ribeiro about 10 years ago

	Copied by Edvaldo Ribeiro about 10 years ago