「APIのセキュリティリスクにはどのようなものがある？」
「APIセキュリティの具体的な対策方法が知りたい」
異なるWebアプリケーションやソフトウェアをつなぐAPIは、今やサービスを提供する上で欠かせない存在になりつつあります。APIには重要なデータが含まれることも多くハッカーから狙われやすいため、APIに特化したセキュリティ対策を講じることが重要です。
本記事では、以下の内容を詳しく解説します。
- APIの概要
- APIを利用するメリット
- 主なセキュリティリスク
- APIセキュリティを強化するための対策
- セキュリティ強化に役立つツール
本記事を読むことで、APIセキュリティにおけるリスクや、企業が実施すべき対策方法が分かります。情報漏えいやサービス停止などのリスクを軽減したいと考えている企業の方は、ぜひご一読ください。
サービス提供にAPIを活用している企業さま必見！
Webアプリケーションセキュリティで十分？APIに対しても対策は必要？
APIはその特性上、攻撃の対象となりやすく、情報を守るためには個別に対策が必要です。脆弱性診断ツールなどを取り入れながら、APIに潜む問題点の早期発見・対策に努めましょう。簡単に始められるAPIの脆弱性診断はこちらからご覧ください。
APIに関する基礎知識
APIとは、異なるWebアプリケーション・ソフトウェア・Webサービスなどをつなぐ仕組みのことです。例えばAPIを利用してWebアプリケーションと金融システムを連携することで、口座情報を共有できます。
企業がAPIを利用したサービスを提供する方法には、以下の2つの立場があります。
- API提供者：自社でAPIを作成し、外部に公開してサービスを提供する
- API利用者：他社から提供されているAPIを、自社サービスに組み込んで提供する
API提供者はWeb上にサービスの機能を公開することで、API利用者からAPIリクエストがあった際にその機能を提供したり、必要なデータを共有したりします。一方、API利用者は提供されたサービスを活用することで、自社でゼロから開発する手間を省き、開発工数を削減してシステム開発に取り組めます。
なおAPIにはいくつか種類がありますが、本記事で取り扱うのはWeb APIです。Web APIはWebを介してプログラムを連携するAPIで、HTTP／HTTPS通信を利用することでプログラミング言語が異なっていてもデータを連携できます。
APIの理解に役立つ関連用語
APIをスムーズに理解するには、よく使われる関連用語の意味を押さえておくことが大切です。代表的なAPIの関連用語には以下の5つがあるため、ぜひ意味を覚えておきましょう。
| 用語 | 説明 |
| APIキー |
|
| APIトークン |
|
| API呼び出し |
|
| API連携 |
|
| API制限 |
|
API連携の活用例
API連携を行うことで、Webアプリケーションやサービスに必要な機能を簡単に追加できます。主な活用事例は以下の通りです。
- SNSのアカウント情報を利用し、Webサービスにログインできるようにする
- 運送サービスとSNSを連携させ、SNS上で荷物のお届け予定・不在連絡を行う
- 地図を提供するAPIと連携し、デリバリーサービスのアプリに表示させる
- APIを経由し、自社商品を複数のECサイトに掲載する
- ECサイトとカード会社が連携し、ECサイト上でカード情報を管理することなく決済を完了させる
- POSレジの売り上げデータや在庫管理システムの在庫数を連携させ、データを収集する
API連携を活用すれば、自社サービスの機能を拡張できるだけでなく、ユーザーの利便性も向上させられます。また自社で収集が難しいデータをAPI連携で共有することで、マーケティングに活かすことも可能です。
APIを利用するメリット
APIを利用することで、API提供者・利用者の双方に以下のようなメリットがあります。
| 対象 | メリット |
| 共通 |
|
| API提供者 |
|
| API利用者 |
|
本章ではAPIを利用するメリットを詳しく解説するため、ぜひ参考にしてください。
API提供者・利用者共通のメリット
API提供者・利用者に共通するメリットは、サービスを利用するユーザーの利便性を向上させられることです。例えば、SNSで登録しているアカウント情報をAPI連携によって自社サービスで使えるようにすれば、ユーザーは会員登録する手間や、ID・パスワードを覚える必要がなくなります。これにより、ユーザーはよりスムーズにサービスを利用開始でき、顧客満足度やエンゲージメントの向上につながります。
一方でサービスの利便性が低ければ、ユーザーの満足度が下がり顧客の離脱を招くでしょう。さまざまなサービスが溢れている現代社会において、APIを活用してサービスの利便性を高めることは重要です。
API提供者のメリット
API提供者には、自社のサービスやデータを提供することで新規顧客を増やし、収益を増加させられるメリットがあります。APIはあくまで機能の窓口を提供するものであり、自社の技術を直接外部に公開するわけではないため、機密情報を漏らすリスクを抑えつつ技術を収益源として活かすことが可能です。
またAPIを提供することで、さまざまな企業がそのAPIを組み合わせて新しいサービスを生み出すため、API提供者側も新しい顧客体験を創造することに貢献できます。自社だけではアプローチすることが難しい業界へサービスを提供したい際にも有効です。
API利用者のメリット
他社のAPIを利用してサービスを提供する企業にとっての大きなメリットは、システム開発の工数やコストを削減できることです。システム開発は一般的に要件定義・設計・プログラミング・テストなど複数の工程を経るものであり、時間がかかります。しかしAPI連携を活用すれば、手間をかけることなく必要な機能を自社サービスに組み込むことが可能です。
またAPI連携によって、リアルタイムでデータを二次利用できます。例えば商品の販売価格などを自社で更新しなくても、API連携なら常に最新情報を反映させることが可能です。人の手で更新する必要がないためミスがなくなり、データを管理する手間も省けます。
APIの主なセキュリティリスク
APIは便利でメリットが多い一方で、以下のようなセキュリティリスクもあります。
- 脆弱性を突いた攻撃による情報漏えい
- 認証不備による不正アクセス
- DDoS攻撃によるサービスの停止
| セキュリティリスク | 原因 |
| 情報漏えい | SQLインジェクション クロスサイトスクリプティング（XSS） |
| 不正アクセス | APIキーの盗取 ユーザーID・パスワードの紛失・漏えい・推測 |
| サービス停止 | DDoS攻撃 |
APIを安全に活用するならリスクを知っておくことが大切なため、ぜひ確認してください。
脆弱性を突いた攻撃による情報漏えい
Web APIは使い方を公開するという性質上、アプリケーションのロジックが外部から推測されやすいというリスクがあります。そのため、Webアプリケーション同様に脆弱性対策を実施する必要があります。以下に２つの脆弱性の例を示します。
- SQLインジェクション
Web APIにSQLクエリを入力できてしまう場合、任意のコマンドを実行され、データベースから情報を奪取されてしまう可能性があります。 - クロスサイトスクリプティング
例えばJSON形式でデータを返すWeb APIにおいて、不正なスクリプトを挿入できてしまう場合、スクリプト実行により情報が漏えいする可能性があります。
認証不備による不正アクセス
APIでは第三者によるアクセスを防ぐために、ユーザーの身元を確認する「認証」と、権限を確認する「認可」によって安全性を確保しています。主な認証方法は、APIキーやトークン、ユーザーID・パスワードを使ったものです。
しかし認証情報が盗まれたり認証の連携機能に問題があったりすると、第三者がAPIに不正アクセスすることが可能になります。不正アクセスされると重要情報の閲覧・データの改ざん・乗っ取りなどさまざまな問題に発展するため、認証を強化してセキュリティを高めることが重要です。
DDoS攻撃によるサービスの停止
APIに大量のリクエストを送信するDDoS攻撃を受けると、サーバーに大きな負荷がかかりサービスが停止するリスクがあります。サービスが停止すると経済的損失が発生し、ユーザーからの信頼も低下するでしょう。原因の調査やサービスの復旧、再発防止対策にもコストがかかります。
またDDoS攻撃に対応する隙を突き、別のサーバーやシステムに攻撃を仕掛けるケースもあります。ハッキングや重要な情報の盗取など、被害がさらに拡大する可能性があるため注意が必要です。
APIセキュリティが必要な理由
APIは個人情報や機密情報などを扱っていることが多いため、重要な情報にアクセスするための手がかりとしてハッカーに狙われやすい傾向にあります。また現代のほとんどのWebアプリケーションにAPIが利用されていることも、攻撃対象となりやすい理由の一つです。
もし攻撃を受ければ、APIで連携している数多くのサービスに影響が出るでしょう。例えばAPIに不正アクセスされてデータが改ざんされた場合、API利用者からのリクエストに対して不正なデータを返してしまいます。データの内容によっては、ユーザーに不利益をもたらすこともあるでしょう。
このようにAPIが狙われると、企業への信頼低下や経済的損失などさまざまな悪影響が広がる可能性があります。安全にサービスを提供し続けるには、APIの提供者・利用者の両方にセキュリティ対策が重要です。
Webアプリのセキュリティ対策でAPIは守れる？
「Webアプリケーションのセキュリティ対策をしている場合は、APIのセキュリティ対策をする必要はない？」と疑問に思う企業の方も多いでしょう。結論から言うと、Webアプリケーションに対する一般的なセキュリティ対策だけでは、APIを狙う多様な攻撃を完全に防ぐことは困難です。
本章ではAPIに特化した対策が必要な理由を解説するため、ぜひご覧ください。
WAFでWeb APIを守るのは難しい
Webアプリケーションの場合、SQLインジェクションやクロスサイトスクリプティング（XSS）など、既知の脆弱性パターンに対する対策としてWAF（Web Application Firewall）が効果を発揮します。
一方、APIのセキュリティは、従来のWebアプリケーションとは異なる特性を持つため、WAFだけですべてをカバーするのは困難です。APIは連携するシステムごとに複雑な仕様を持ち、そのビジネスロジックやデータの流れが多岐にわたります。そのため、単一の攻撃パターンに依存しない、API固有の認証・認可の脆弱性や、ビジネスロジックの欠陥を突く攻撃に対しては、WAFの持つブラックリストやシグネチャベースの防御だけでは十分に対応できません。特に、正規のアクセスに見えても権限が不正に昇格されたり、他者のデータにアクセスできてしまうような攻撃は、WAFが検知しにくい傾向にあります。
WAFの導入が無意味なわけではありませんが、APIの特性を理解した上で、WAFだけに頼らず、より専門的なAPIセキュリティ対策を講じることを強く推奨します。
APIに特化した対策が必要
WebブラウザからWebアプリケーション経由でAPIを操作する場合は、Webアプリケーションのセキュリティ対策でも一部対応できる場合があります。しかしAPI連携ではAPIをプログラムから直接実行することがほとんどであるため、APIに特化した対策を行わないと外部からの攻撃に対応できません。
なおAPIセキュリティで確認しなければならないポイントは、以下の通りです。
- API提供者・利用者がやり取りするリクエストの内容確認
- 通信経路の安全性の確保
- APIのロジックや仕様を悪用した攻撃の防止
次章ではAPIに特化した具体的なセキュリティ対策を紹介しているため、ぜひ参考にしてください。
APIセキュリティの強化に有効な4つの対策
APIセキュリティの強化に有効な対策は、以下の4つです。
- 通信の暗号化（対象：API提供者・利用者共通）
- スキーマ―の検証（対象：API提供者）
- トークンの利用（対象：API提供者）
- レート制限（対象：API提供者）
APIのセキュリティリスクを軽減するために必要な対策であるため、未実施の対策があれば早急に取り組みましょう。
1.通信の暗号化
通信を暗号化することで、APIに含まれる情報が第三者に閲覧されることを防げます。通信内容を傍受されると情報漏えいやデータ改ざんなどのリスクがあるため、暗号化は必須の対策と言えるでしょう。
なお通信の暗号化は、API提供者・利用者の両方が行うべき対策です。暗号化することでAPI通信の信頼性が高まり、セキュリティを確保できます。
2.スキーマの検証
スキーマとは、「リクエストに対してどのようなレスポンスを返すべきか」という内容が記述されている仕様書のようなものです。
スキーマを検証することで、無効なリクエストとレスポンスを特定・ブロックできます。スキーマに反した無効なリクエストは、APIに意図しない動作をさせて情報漏えいを引き起こすことがあるため、API提供者がスキーマの検証を行うことは重要です。
3.トークンの利用
APIにアクセスするユーザーが有効であるか識別する手段として、APIトークンが有効です。APIトークンを利用してユーザーの認証・認可を行うことで、不特定多数の人がAPIにアクセスするのを制御できます。またAPIトークンには有効期限が設けられており、期限を過ぎるとアクセスできなくなります。
ユーザーの認証・認可を迅速に行えるため、セキュリティ上のリスクを軽減しつつ、パフォーマンスを向上させることが可能です。
4.レート制限
レート制限とは、特定の時間枠におけるAPIリクエストの数を制限することです。APIリクエストの数が上限を超えると、該当クライアントからのリクエストをブロックします。
レート制限することでAPIサーバーへの過剰なリクエストを防げるため、DDoS攻撃の対策として有効です。
APIセキュリティ強化に役立つツール
APIセキュリティをより強化するなら、以下のツールの導入も検討しましょう。
- Oauth 2.0・FAPI
- API Gateway
- 脆弱性診断ツール
各ツールがどのような役割をするのか解説するため、ぜひ参考にしてください。
Oauth 2.0・FAPI
OAuth 2.0とは、ユーザーがサービスAにログインした状態を維持したまま、その認証情報に基づいてサービスBがサービスAの特定の機能やデータに安全にアクセスできるようにする認可の仕組みです。これにより、サービスBにはユーザーのログイン情報が直接保存されず、安全にAPIを利用できます。
FAPIは、高い安全性が求められる金融サービスに対し、OAuth 2.0を利用してよりセキュアなサービスを実現するためのAPI仕様です。外部サービスを利用する際にログイン情報を入力する必要がないため、情報漏えいやなりすましなどのリスクを軽減できます。
API Gateway
API Gatewayとは、APIの管理とセキュリティ強化を効率化するフルマネージドサービスです。代表的なのはAWSが提供しているAmazon API Gatewayで、APIの作成・管理・認証・保護・分析などを簡単に行える機能を備えています。
エラーなどをリアルタイムで監視できるため、問題が発生した際も迅速に対応可能です。またAPIとのやり取りをAPI Gatewayに担ってもらうことで、API運用に必要な人材やコストを削減し、システム開発に集中できます。
脆弱性診断ツール
脆弱性診断ツールとは、APIに潜むセキュリティ上の欠陥を検出するツールです。脆弱性診断を実施することで、APIにおける認証・認可の不備やセキュリティの設定ミス、不適切なイベントリなどを発見できます。システム開発の途中やAPIを公開するタイミングでこまめに診断することで、問題点を早期発見できるでしょう。
APIには機密情報が含まれていることが多いため、APIに特化した脆弱性診断を実施することが重要です。脆弱性診断ツールを選ぶ際は、OWASP API Security Top10に対応しているかを選定ポイントに含めることをお勧めします。
このようなAPIに特化した脆弱性診断ツールの代表例として、当社のクラウド型Webアプリケーション脆弱性診断ツール「AeyeScan」があります。 AeyeScanは、人手が必要な脆弱性診断の分野でいち早く生成AIを取り入れ、工程を大幅に自動化。API診断においてもその強みを発揮します。
気になる方は、まずはお気軽にご相談ください。
▼関連記事
脆弱性診断（セキュリティ診断）とは｜安全なサービス提供に必要な診断手法と選び方
脆弱性診断ツール（サービス）｜有料・無料の違いとコスト削減・効果を両立する選定基準
