All posts for: Szyfrowanie żądań

W tym artykule, kontynuując naszą serię, wracamy do tematu zabezpieczania usług backendowych za pomocą zaawansowanych technik szyfrowania oraz podpisywania żądań kluczami RSA w kontekście frameworku Flask dla Pythona. Skupimy się na zapewnieniu nie tylko poufności danych poprzez szyfrowanie, ale także ich integralności i autentyczności za pomocą sygnatur RSA. Przedstawię, jak zaimplementować szyfrowanie i deszyfrowanie danych oraz integrację z podpisem, aby chronić komunikację przed różnymi zagrożeniami, takimi jak chociażby ataki typu replay. Celem artykułu jest przedstawienie innych możliwych mechanizmów zabezpieczania komunikacji niż przypinanie certyfikatów oraz dodanie kolejnej warstwy bezpieczeństwa oprócz szyfrowania oferowanego przez HTTPS.

W tym artykule ponownie zagłębię się w temat testowania API, które jest zabezpieczone przez mechanizmy szyfrowania i podpisywania żądań przy użyciu kluczy RSA. Jesteście już zaznajomieni z tymi mechanizmami z moich poprzednich postów. Jednak zdecydowałem się powrócić do tego tematu, aby przedstawić rozwiązania dostosowane do oprogramowania Zed Attack Proxy (ZAP), gdzie zachowanie wygląda inaczej. Co więcej, w tym artykule pokażę, jak wykorzystać dwa różne skrypty, uruchamiane w odpowiedniej kolejności, aby modyfikować żądania w locie w sposób oczekiwany przez stronę serwerową. Dzięki takim rozwiązaniom testowanie API staje się znacznie prostsze, ponieważ nie musimy już skupiać się na stosowanych mechanizmach bezpieczeństwa. Dodatkowo, podział skryptów według ich odpowiedzialności znacznie ułatwia ich użytkowanie i pozwala na ich ponowne użycie bez modyfikacji.

W tym artykule zamierzam przedstawić kolejny mechanizm zabezpieczający żądania API, którego implementacja była znaczącym elementem projektu w świecie rzeczywistym. Omawiany mechanizm wyróżnia się dodatkową warstwą bezpieczeństwa poprzez szyfrowanie treści żądań za pomocą kluczy RSA. Stanowi to dodatkowe zabezpieczenie, które może skutecznie uzupełnić standardowy protokół HTTPS. Ponadto, w późniejszej części artykułu zostaną wprowadzone podpisy przy użyciu kluczy RSA jako wisienka na torcie, zapewniające weryfikację integralności wysyłanych komunikatów. Cała komunikacja będzie również dodatkowo zabezpieczona przed potencjalnymi atakami typu replay.