Sichern der REST-API meiner Node.js-App?

Ich könnte etwas Hilfe bei meiner REST-API gebrauchen. Ich schreibe eine Node.js-App, die Express, MongoDB verwendet und Backbone.js auf der Clientseite hat. Ich habe die letzten zwei Tage damit verbracht, all dies herauszufinden, und hatte nicht viel Glück. Ich habe schon nachgeschaut:

• Sichern einer REST-API
• Sicherung meiner REST-API mit OAuth bei gleichzeitiger Authentifizierung über OAuth-Drittanbieter (mit DotNetOpenAuth)
• http://www.thebuzzmedia.com/designing-a-secure-rest-api-without-oauth-authentication/
• http://tesoriere.com/2011/10/10/node.js-getting-oauth-up-and-working-using-express.js-and-railway.js/

Ich möchte mein Backend und Frontend so getrennt wie möglich halten, also dachte ich, es wäre gut, eine sorgfältig entworfene REST-API zu verwenden. Ich denke, wenn ich jemals dazu komme, eine iPhone-App (oder etwas Ähnliches) zu entwickeln, könnte sie die API verwenden, um auf Daten zuzugreifen.

ABER ich möchte, dass dies sicher ist. Ein Benutzer hat sich bei meiner Web-App angemeldet und ich möchte sicherstellen, dass meine API sicher ist. Ich habe über OAuth, OAuth 2.0, OpenID, Hmac, Hashes usw. gelesen. Ich möchte die externe Anmeldung (Facebook/Twitter/etc) vermeiden. Ich möchte, dass die Registrierung und Anmeldung auf meiner App/Server erfolgt.

…aber ich bin hier immer noch verwirrt. Vielleicht ist es spät in der Nacht oder mein Gehirn ist gerade gebraten, aber ich könnte wirklich ein paar Schritte gebrauchen, was ich hier tun soll. Was sind die Schritte für mich, um eine sichere API zu erstellen?

Jede Hilfe, jede Information, alle Beispiele, Schritte oder irgendetwas wäre großartig. Bitte helfen Sie!

In der Reihenfolge zunehmender Sicherheit / Komplexität:

Einfache HTTP-Authentifizierung

In vielen API-Bibliotheken können Sie dies einbauen (Piston in Django zum Beispiel) oder Sie können es Ihrem Webserver überlassen. Sowohl Nginx als auch Apache können Serveranweisungen verwenden, um eine Site mit einem einfachen b64-codierten Passwort zu sichern. Es ist nicht die sicherste Sache der Welt, aber es ist zumindest ein Benutzername und ein Passwort!

Wenn Sie Nginx verwenden, können Sie Ihrer Hostkonfiguration einen Abschnitt wie folgt hinzufügen:

auth_basic "Restricted";
auth_basic_user_file /path/to/htpasswd;

(Legen Sie es in Ihre location / Block)

Dokumente: http://wiki.nginx.org/HttpAuthBasicModule

Sie müssen das Python-Skript abrufen, um dieses Passwort zu generieren und die Ausgabe in eine Datei zu schreiben: http://trac.edgewall.org/browser/trunk/contrib/htpasswd.py?format=txt

Der Speicherort der Datei spielt keine große Rolle, solange Nginx Zugriff darauf hat.

HTTPS

Sichern Sie die Verbindung von Ihrem Server zur App, dies ist die einfachste und verhindert Man-in-the-Middle-Angriffe.

Sie können dies mit Nginx tun, die Dokumentation dafür ist sehr umfangreich: http://wiki.nginx.org/HttpSslModule

Ein selbstsigniertes Zertifikat dafür wäre in Ordnung (und kostenlos!).

API-Schlüssel

Diese können in jedem beliebigen Format vorliegen, bieten Ihnen jedoch den Vorteil, den Zugriff zu widerrufen, falls dies erforderlich sein sollte. Möglicherweise nicht die perfekte Lösung für Sie, wenn Sie beide Enden der Verbindung entwickeln. Sie werden in der Regel verwendet, wenn Dritte die API verwenden, z. B. Github.

OAuth

OAuth 2.0 ist hier das Richtige. Obwohl ich die zugrunde liegende Funktionsweise der Spezifikation nicht kenne, ist sie jetzt der Defacto-Standard für die meisten Authentifizierungen (Twitter, Facebook, Google usw.) und es gibt eine Menge Bibliotheken und Dokumente, die Ihnen bei der Implementierung dieser helfen. Abgesehen davon wird es normalerweise verwendet, um einen Benutzer zu authentifizieren, indem ein Drittanbieterdienst um die Authentifizierung gebeten wird.

Angesichts der Tatsache, dass Sie die Entwicklung an beiden Enden durchführen, würde es wahrscheinlich ausreichen, Ihre API hinter Basic HTTP Auth zu platzieren und sie über HTTPS bereitzustellen, insbesondere wenn Sie keine Zeit damit verschwenden möchten, mit OAuth herumzuspielen.

Hier ist eine andere Art, darüber nachzudenken:

Nehmen wir für einen Moment an, dass Sie keine API verwenden. Ihr Benutzer meldet sich bei der App an, gibt einige Anmeldeinformationen an, und Sie geben dem Benutzer ein Cookie oder einen ähnlichen Token, mit dem Sie identifizieren, dass sich der Benutzer angemeldet hat. Der Benutzer fordert dann eine Seite an, die eingeschränkte Informationen enthält (oder erstellt / Ändern/Löschen), also überprüfen Sie dieses Token, um sicherzustellen, dass der Benutzer diese Informationen anzeigen darf.

Nun, für mich klingt es so, als würden Sie hier nur die Art und Weise ändern, wie Informationen übermittelt werden. Anstatt die Informationen als gerendertes HTML bereitzustellen, geben Sie die Informationen als JSON zurück und rendern sie auf der Clientseite. Ihre AJAX-Anforderungen an den Server tragen dasselbe eingeloggte Token wie zuvor, daher schlage ich vor, dieses Token einfach zu überprüfen und die Informationen auf die gleiche Weise auf „nur das, was der Benutzer wissen darf“ zu beschränken.

Ihre API ist jetzt so sicher wie Ihre Anmeldung – wenn jemand das für den Zugriff auf die API erforderliche Token kennen würde, wäre er auch auf der Website angemeldet und hätte sowieso Zugriff auf alle Informationen. Das Beste daran ist, wenn Sie die Anmeldung bereits implementiert haben, müssen Sie nicht wirklich mehr tun.

Der Sinn von Systemen wie OAuth besteht darin, diese „Anmeldemethode“ bereitzustellen, normalerweise von einer Drittanbieteranwendung und als Entwickler. Dies wäre möglicherweise eine gute Lösung für eine iPhone-App oder ähnliches, aber das liegt in der Zukunft. Es ist nichts Falsches daran, dass die API mehr als eine Authentifizierungsmethode akzeptiert!

Die bisherigen Antworten erklären sehr gut, geben jedoch keine tatsächlichen Schritte an. Ich bin auf diesen Blog-Beitrag gestoßen, der sehr detailliert darauf eingeht, wie man Token sicher mit Node + Passport erstellt und verwaltet.

http://aleksandrov.ws/2013/09/12/restful-api-with-nodejs-plus-mongodb/

Tipps gültig für die Sicherung jeder Webanwendung

Wenn Sie Ihre Bewerbung sichern möchten, dann sollten Sie auf jeden Fall mit HTTPS statt HTTP beginnenstellt dies sicher, dass zwischen Ihnen und den Benutzern ein sicherer Kanal entsteht, der das Ausspionieren der an die Benutzer gesendeten Daten verhindert und dazu beiträgt, die ausgetauschten Daten vertraulich zu halten.

Sie können JWTs (JSON Web Tokens) verwenden, um RESTful-APIs zu sichernhat dies im Vergleich zu serverseitigen Sitzungen viele Vorteile. Die Vorteile sind hauptsächlich:

1- Mehr Skalierbarkeit, da Ihre API-Server keine Sitzungen für jeden Benutzer aufrechterhalten müssen (was bei vielen Sitzungen eine große Belastung sein kann)

2- JWTs sind eigenständig und haben die Ansprüche, die beispielsweise die Benutzerrolle definieren und auf was er zugreifen kann und ausgestellt am Datum und Ablaufdatum (nach dem JWT nicht mehr gültig ist).

3- Einfachere Handhabung über Load-Balancer hinweg und wenn Sie mehrere API-Server haben, da Sie weder Sitzungsdaten teilen noch den Server konfigurieren müssen, um die Sitzung an denselben Server weiterzuleiten, wenn eine Anfrage mit einem JWT einen Server trifft, kann sie authentifiziert werden & autorisiert

4- Weniger Druck auf Ihre DB und Sie müssen nicht ständig Sitzungs-IDs und Daten für jede Anfrage speichern und abrufen

5- Die JWTs können nicht manipuliert werden, wenn Sie einen starken Schlüssel zum Signieren des JWT verwenden, sodass Sie den Ansprüchen im JWT vertrauen können, das mit der Anfrage gesendet wird, ohne die Benutzersitzung überprüfen zu müssen und ob er autorisiert ist oder nicht , können Sie einfach das JWT überprüfen und wissen dann, wer und was dieser Benutzer tun kann.

Node.js-spezifische Bibliotheken zum Implementieren von JWTs:

Viele Bibliotheken bieten einfache Möglichkeiten zum Erstellen und Validieren von JWTs, zum Beispiel: in node.js ist eine der beliebtesten jsonwebtokenauch für die Validierung der JWTs können Sie dieselbe Bibliothek verwenden oder verwenden express-jwt oder koa-jwt (wenn Sie express/koa verwenden)

Da REST-APIs im Allgemeinen darauf abzielen, den Server zustandslos zu halten, sind JWTs besser mit diesem Konzept kompatibel, da jede Anforderung mit einem eigenständigen Autorisierungstoken gesendet wird (JWT) ohne dass der Server die Benutzersitzung verfolgen muss, im Vergleich zu Sitzungen, die den Server zustandsbehaftet machen, sodass er sich an den Benutzer und seine Rolle erinnert. Sitzungen sind jedoch auch weit verbreitet und haben ihre Vorteile, nach denen Sie suchen können, wenn Sie möchten.

Beachten Sie unbedingt, dass Sie das JWT sicher über HTTPS an den Client übermitteln und an einem sicheren Ort (z. B. im lokalen Speicher) speichern müssen.

Sie können mehr über JWTs erfahren von diesem Link