La sécurité des API laisse à désirer

Selon une ancienne hackeuse réhabilitée citée par Bank Info Security, les API fournissent fréquemment aux cybercriminels une porte d'entrée dans les systèmes des grandes entreprises. Or, entre leur prolifération dans le monde « digital » et la progression alarmante des lacunes observées dans leur mise en œuvre, la situation empire à vue d'œil.

Si la désormais directrice générale d'une jeune pousse dédiée à la cybersécurité prend pour exemple, dans le cadre d'une conférence sur l'industrie spatiale, une solution d'accès à une constellation de satellites, les problématiques qu'elle décrit sont largement identiques dans tous les secteurs, dont celui de la finance, particulièrement sensible. Elle évoque notamment une vulnérabilité spécifique, qu'elle rencontre dans la quasi totalité (98%) des analyses que conduit son entreprise (via des agents IA).

L'erreur en cause ? Une mauvaise gestion des droits alloués aux utilisateurs. En clair, l'identification et l'authentification sont correctement prises en charge, chaque client se voit attribuer des clés d'accès dédiées et leur contrôle est dûment réalisé lors de chaque appel. En revanche, les autorisations associées s'avèrent généralement insuffisamment restrictives, ouvrant à celui qui possède les précieux sésames la possibilité de consulter ou de modifier des données et des services extérieurs à son périmètre légitime.

C'est un constat que je fais malheureusement aussi moi-même dans mes interventions. Et la (triste) raison de ce genre de négligence réside dans une certaine incompétence. Les développeurs accoutumés à produire des applications « classiques », avec une interface graphique destinée à une personne humaine, programment les parcours de cette dernière et, en guise de protection, déterminent donc précisément ce qu'elle est en mesure de réaliser ou non avec l'outil qu'ils lui mettent entre les mains.

Forts de cette habitude et sans formation appropriée, quand ils doivent concevoir des API, ils oublient l'exercice indispensable qui consiste à imaginer tous les scénarios d'usage et de détournement – délibérés ou fortuits – et ne pensent qu'aux modèles nominaux sur lesquels ils travaillent. Les actions non prévues deviennent alors de potentielles failles de sécurité ou des dysfonctionnements plus ou moins graves. Et l'IA, qui se voit souvent confier la tâche de générer le code, n'est pas plus attentive.

Plus grave, les équipes en charge de la sécurité font parfois montre des mêmes aveuglements. Faute de sensibilisation et, par conséquent, de compréhension intime des API et de leurs principes d'exploitation, les individus désignés pour veiller à la protection des actifs de l'organisation, surtout s'ils sont exposés à l'extérieur, de préconiser les bonnes pratiques à respecter, d'orchestrer les campagnes de validation… les traitent comme d'autres logiciels et manquent de la sorte à leur mission.

Tandis que les API se répandent dans tous les métiers des institutions financières et que les plates-formes de développement modernes permettent dorénavant d'automatiser leur création à un rythme quasi-industriel, l'ignorance des enjeux qu'elles portent – dans tous les départements des entreprises (car la direction informatique n'assume la responsabilité que de leur implémentation) – devient tragique, non seulement pour leur viabilité, à court et à long terme, mais aussi, donc, pour la sécurité des systèmes.