在最近举行的FDX Global Summit Spring 2021上，我代表F5与来自Cequence Security和Mastercard-Nudata的其他嘉宾共同参与了小组讨论。我们探讨了FDX API安全工作组的工作。该工作组汇集金融机构、聚合服务商和安全厂商，共同制定安全、开放的数据共享银行业标准。
Financial Data Exchange（FDX）是一家非营利组织，致力于制定FDX API（应用程序编程接口）标准，以建立通用的互操作性数据标准。该标准使消费者和企业能够可靠、安全地访问其财务数据，并将成为美国和加拿大开放银行领域的参考标准。
开放银行为金融服务行业深化创新与协作带来了新的机遇，使金融科技企业及其他获得授权的第三方能够访问消费者金融信息，以开展创新并提供增值服务。开放银行标准允许消费者在同意并授权后，由第三方以安全、精细的方式访问特定的消费者金融数据（例如余额、交易记录）和功能（例如支付）。第三方和金融科技企业可提供的增值服务包括：
- 将多家机构的账户和服务汇总到一处
- 支付发起
- 金融产品比较
- 提供该机构尚未提供的银行服务
- 基于财务数据提供决策支持和洞察，例如身份验证、信贷偿付能力评估等。
F5一直与全球金融服务客户密切合作，实施开放银行API并保障其安全。F5与Twimbit合作发布了关于开放银行全球趋势的研究报告。
消费者金融信息的内在价值
消费者金融信息是暗网市场上交易的一种商品，价格从35美元（适用于余额较低、可用作钱骡账户实施其他欺诈活动的账户）到150美元以上（适用于余额较高的账户）不等。消费者金融信息的交易价值相对较低，是因为市场上存在大量已失陷的账户和凭据。因此，攻击者利用API实现自动化，以扩大其运营规模，交易数以千计的被盗账户。金融API由此成为需要重点保护的主要攻击面。
攻击者将开放银行API作为重点目标
近期，以金融服务行业为目标的网络犯罪分子开始将更多攻击集中在应用程序编程接口（API）上。应用正日益转向分布式和去中心化模式，并以API作为连接点。F5最新研究显示，API安全事件数量逐年增加，过去两年的大多数API事件都与安全成熟度较低有关，而这通常是由工具泛滥造成的。负责多个应用的不同开发团队往往使用各不相同的工具集。这意味着传统安全团队可能缺少一个用于实施安全控制的集中管控点。因此，需要采用一套标准化工具，将适当的控制措施嵌入API开发和管理流程中。
演进历程：OFX与屏幕抓取
需要关注的威胁面并非只有API。传统上，需要访问消费者数据的第三方和金融数据聚合商会利用以下两种机制：
- OFX（开放式金融交换），最初用于将消费者金融应用程序（例如MS Money、Intuit QuickBooks）连接到用户的金融机构。
- 屏幕抓取，即消费者向第三方提供银行账户凭据，由第三方登录金融服务网络渠道并抓取相关信息。
攻击者可以利用OFX作为渠道，直接或通过金融聚合服务商大规模实施凭据填充、账户验证和账户接管：
- F5经常观察到，攻击者将OFX用作渠道，直接或通过金融聚合服务商开展大规模凭据填充、账户验证和账户接管。
- 向第三方提供用于屏幕抓取的凭据，会使这些凭据面临该第三方安全状况所带来的风险。
- 这些机制无法让消费者对第三方可访问的信息进行精细化授权和控制，从而导致隐私泄露。
OFX已加入FDX，并最终将整合为统一标准。这为实现安全控制现代化和解决以往的安全挑战提供了契机。基于屏幕抓取的方法仍给金融机构带来挑战。
提升安全性的建议
FDX已发布全面建议，说明为保护消费者账户信息和服务完整性免受威胁与风险而应实施的控制措施。这些控制措施包括：
- 软件安全：控制OWASP十大风险及其他软件漏洞，包括部署Web应用防火墙（WAF）
- 网络和系统安全
- 运营安全
- 物理安全
- 业务连续性和灾难恢复
- 供应商安全
- authN/authZ设计模式，包括针对凭据填充攻击的控制措施
- 安全网关架构（SGA）模式，包括内置于API网关的API安全控制措施
最后，《F5开放银行解决方案指南》全面介绍了F5面向开放银行的解决方案。
特别感谢金融服务团队成员Benn Alp、Chad Davis和Andy Franklin对本文所作的贡献。
关于作者
相关博客文章
2023年应用策略现状：成本与复杂性是推动多云网络发展的首要因素
多云网络解决方案可在核心、云和边缘环境之间实现无缝、安全的互联，为解决当今混合IT面临的挑战提供支持，因而备受业界关注。