Руководство для разработчиков: Безопасная интеграция API-шлюзов с проверяемыми учетными данными (RU)

Повышенная безопасность APIПроверяемые учетные данные предлагают децентрализованный, сохраняющий конфиденциальность метод для защиты доступа к API, выходя за рамки традиционной аутентификации на основе токенов к криптографически проверяемым утверждениям о пользователях и их разрешениях.

Оптимизированная интеграцияAPI-шлюзы выступают в качестве важнейших точек принудительного применения, позволяя применять политики, основанные на проверяемых учетных данных, единообразно для всех микросервисов без обширных изменений кода в отдельных службах.

Подход, ориентированный на разработчиковВнедрение проверяемых учетных данных требует надежных инструментов и четкой документации, что позволяет разработчикам быстро и эффективно интегрировать и управлять этими передовыми протоколами безопасности.

Роль DiditDidit предоставляет модульную платформу идентификации на основе ИИ, которая легко интегрируется с API-шлюзами, предлагая Free Core KYC и полный набор продуктов ID Verification и NFC Verification для программной выдачи и проверки учетных данных.

Эволюция безопасности API: почему проверяемые учетные данные имеют значение

В современном взаимосвязанном цифровом ландшафте API являются основой практически каждого приложения и сервиса. Защита этих API имеет первостепенное значение, однако традиционные методы часто оказываются недостаточными. Токены OAuth и ключи API, хотя и функциональны, могут быть подвержены компрометации и предлагают ограниченный контекст о запрашивающей сущности. Именно здесь проверяемые учетные данные (VC) выступают в качестве преобразующего решения, предлагая децентрализованный, криптографически безопасный способ подтверждения информации о сущности.

Проверяемые учетные данные позволяют эмитенту подтвердить утверждение о держателе (например, «этому пользователю больше 18 лет», «эта организация является лицензированным финансовым учреждением»). Затем держатель может предъявить эти учетные данные верификатору, который может криптографически подтвердить их подлинность и целостность, не полагаясь на центральный орган. Этот сдвиг парадигмы повышает конфиденциальность, снижает зависимость от единых точек отказа и обеспечивает более богатый контекст для принятия решений об авторизации. Интеграция VC с API-шлюзом позволяет надежно применять политики на границе вашей сети, гарантируя, что только доверенные сущности с действительными учетными данными могут получить доступ к вашим услугам.

API-шлюзы: исполнители доступа на основе учетных данных

API-шлюз служит единой точкой входа для всех запросов API, действуя как регулировщик трафика, охранник и исполнитель политик. При интеграции проверяемых учетных данных API-шлюз становится критически важным компонентом инфраструктуры, ответственным за перехват входящих запросов, проверку представленных VC и принятие решений об авторизации на основе содержащихся в них утверждений. Такой централизованный подход предлагает несколько преимуществ:

• Централизованное применение политик: Применяйте последовательные политики безопасности ко всем микросервисам без изменения кода отдельных служб.
• Оптимизация производительности: Снимайте сложную логику проверки VC с бэкэнд-сервисов, улучшая их производительность и масштабируемость.
• Сокращение поверхности атаки: Шлюз может отфильтровывать вредоносные запросы и несанкционированные попытки доступа до того, как они достигнут ваших основных сервисов.
• Аудируемость: Регистрируйте все представления учетных данных и результаты проверки для целей соответствия требованиям и аудита безопасности.

Представьте себе сценарий, когда запрос API на финансовые данные требует подтверждения личности и определенной профессиональной лицензии. Вместо того, чтобы каждый микросервис повторно проверял эти утверждения, API-шлюз может проверить VC, выданный доверенным поставщиком удостоверений (например, ID Verification или NFC Verification Didit для документов с высокой степенью достоверности) и органом по профессиональному лицензированию. Если VC действителен и содержит необходимые утверждения, запрос пересылается; в противном случае он отклоняется.

Внедрение проверяемых учетных данных с вашим API-шлюзом

Интеграция VC с API-шлюзом обычно включает следующие шаги:

1. Выдача учетных данных: Пользователи получают VC от доверенных эмитентов. Didit, с его возможностями ID Verification и Passive & Active Liveness, может выступать в качестве мощного эмитента, проверяя личности пользователей и выдавая надежные VC на основе реальных данных. Phone & Email Verification Didit также обеспечивает базовое доверие.

2. Представление учетных данных: Когда пользователь делает запрос API, он представляет свой VC (или проверяемое представление, которое может содержать несколько VC) API-шлюзу. Это часто происходит через пользовательский HTTP-заголовок или как часть тела запроса.

3. Проверка шлюзом: API-шлюз, настроенный с модулем проверки VC, выполняет несколько проверок:

   • Криптографическая проверка подписи эмитента.
   • Проверка статуса отзыва учетных данных.
   • Проверка схемы и утверждений в VC в соответствии с предопределенными политиками.
   • Обеспечение того, что учетные данные все еще действительны (не истекли).

4. Решение об авторизации: На основе проверенных утверждений шлюз принимает решение об авторизации. Например, утверждение типа "age": { "value": 21, "threshold": ">" } может быть использовано Age Estimation Didit для разрешения доступа к контенту с возрастными ограничениями. Доступ предоставляется или отклоняется, а соответствующие утверждения могут быть переданы микросервису для детальной авторизации.

Модульная архитектура Didit превосходно подходит для этого, позволяя вам компоновать эти шаги проверки и выдавать VC, адаптированные к вашим конкретным потребностям. С AML Screening & Monitoring вы даже можете встроить проверки соответствия непосредственно в процесс выдачи учетных данных, гарантируя, что только соответствующие пользователи получают токены доступа или VC.

Лучшие практики для безопасной и масштабируемой интеграции

Чтобы обеспечить надежную и масштабируемую интеграцию проверяемых учетных данных с вашим API-шлюзом, рассмотрите следующие лучшие практики:

• Стандартизация: Придерживайтесь стандартов W3C Verifiable Credentials и Decentralized Identifiers (DIDs) для обеспечения интероперабельности и перспективности.
• Управление отзывом: Внедрите надежный механизм отзыва (например, используя W3C Credential Status List или другие методы отзыва на основе DID) для быстрого аннулирования скомпрометированных или устаревших учетных данных.
• Гранулярность политик: Определите четкие и гранулированные политики авторизации на уровне API-шлюза, используя богатые утверждения, доступные в VC.
• Производительность: Оптимизируйте процессы проверки VC в шлюзе, чтобы минимизировать задержки. Кэширование часто используемых открытых ключей и списков отзыва может помочь.
• Опыт разработчика: Предоставьте четкую документацию и SDK для разработчиков, чтобы легко интегрировать представление VC в свои приложения. Подход Didit, ориентированный на разработчиков, с мгновенной песочницей и чистыми API, делает этот процесс бесшовным.
• Наблюдаемость: Отслеживайте метрики проверки VC, сбои и решения об авторизации, чтобы быстро выявлять и устранять проблемы.

Как помогает Didit

Didit находится на переднем крае обеспечения безопасной интеграции API-шлюзов с проверяемыми учетными данными, предлагая платформу идентификации на основе ИИ, ориентированную на разработчиков. Наша модульная архитектура позволяет предприятиям создавать мощные рабочие процессы проверки личности и легко выдавать криптографически проверяемые учетные данные. С Free Core KYC вы можете немедленно начать создавать безопасные потоки идентификации без первоначальных затрат на настройку или непомерных расходов.

Полный набор продуктов Didit, включая ID Verification (OCR, MRZ, штрих-коды), Passive & Active Liveness, 1:1 Face Match & Face Search и NFC Verification (ePassport/eID), предоставляет основные элементы для выдачи высоконадежных VC. Например, пользователь может пройти процесс ID Verification Didit, и после успешной проверки ваша система может выдать VC, подтверждающий его атрибуты личности. Наши решения Phone & Email Verification и Proof of Address еще больше повышают надежность этих учетных данных.

Наша платформа разработана для программного взаимодействия, что делает ее идеальной для интеграции с API-шлюзами. Вы можете использовать API Didit для:

• Инициирования и управления сессиями проверки личности.
• Получения уведомлений webhook о результатах проверки.
• Генерации и управления учетными данными приложения (client_id и api_key) для безопасного доступа к API, как подробно описано в нашей документации для Verify Email & Get Credentials и Get Application Credentials.

Используя Didit, вы можете быстро внедрить инфраструктуру проверяемых учетных данных, переложив сложности проверки личности и выдачи учетных данных на надежную платформу на основе ИИ. Это позволяет вашему API-шлюзу сосредоточиться на применении политик, в то время как Didit обеспечивает целостность и надежность базовых утверждений личности.

Готовы начать?

Готовы увидеть Didit в действии? Получите бесплатную демонстрацию уже сегодня.

Начните бесплатно проверять личности с бесплатным тарифом Didit.