Estratégias modernas para Mobile e API Security

No início de sua palestra, Eick Herdy, Head de Cyber Security pela Inmetrics, lista aos pontos mais importantes quando se fala em segurança e de APIs em Mobile:

• Autenticação de dispositivos móveis: Combinar diversos métodos de autenticação, incluindo a autenticação biométrica mais recente;

• Segurança dos aplicativos móveis: Tomar uma atitude contra o crescimento das ameaças em dispositivos móveis para proteger sua instituição, aplicativos e usuários;

• Desenvolvimento otimizado: Reduzir o custo de desenvolvimento e o tempo de comercialização com um conjunto completo de ferramentas do desenvolvedor;

• Assinaturas eletrônicas: Acelerar a jornada do cliente dando a ele a capacidade de assinar documentos eletronicamente em qualquer dispositivo;

• Conformidade: Preencher as exigências regulatórias e provar aos auditores que as medidas certas foram tomadas;

• Experiência do cliente: otimizar a experiência de usuário com segurança de aplicação para dispositivos móveis transparente e a autenticação correta.

No entanto, a grande questão levantada pelo especialista é: como garantir segurança dentro de um microsserviço? Assim, dentre todas as questões levantadas entorno deste tópico, Erick conta que nasceu o conceito de API Gateway e colocar em um único pilar a segurança, canalizando-a para aquele API Gateway e garante proteções em todas as entradas.

Porém, o Head de segurança Cibernética pela Inmetrics explica que um outro modelo possível é utilizar dois tipos de API Gateway, sendo um para mobile e outro para web e ambos se correlacionarem e conversarem entre si dentro da cama de desenvolvimento, mas analisando o que vem de cada mobile e aplicativo.  Sendo que também é possível trabalhar utilizando um terceiro modelo, o de nuvem.

Após estas considerações, Erick também explica sobre as ameaças que começam a aparecer dentro destes limites de recurso, sendo a primeira delas a paginação. “A maioria dessas APIs fornece acessos a recursos que são listas de entidades. Um cliente, como um navegador, por exemplo, ele normalmente filtraria e paginaria por meio desta lista para limitar o número de itens que são retornados a cada um dos clientes. Esse mecanismo cria uma proteção, para verificar a contagem, e lançar o erro”, conta.

Além disso o especialista também explica as melhores formas de se proteger contra as diferentes formas de ataques mencionadas em sua palestra!

Quer entender um pouco mais sobre a palestra? Vem conferir o vídeo!

Este artigo foi escrito por Erick Herdy e publicado originalmente em Prensa.li.