API セキュリティ
私たちのAPIはHTTPSプロトコルに基づいており、POSTメソッドでJSONデータを送信します。データの改ざんを防ぎ、セキュリティを確保するために、APIはクライアント認証を要求し、Basic AuthおよびRSA署名認証の2つの認証方式をサポートしています。また、機密データの保護にはAESおよびRSAの2つの暗号化方式を提供しています。本稿ではこれらの認証機構と暗号化方法を紹介します。
認証
1. RSA署名認証（推奨）
RSA署名認証は、リクエストデータに署名を施すことで、受信者が送信者の公開鍵を使用してリクエストの真正性を検証できる仕組みです。これにより、データの改ざん防止と送信者の身元確認が可能です。
動作原理
クライアントは自分のRSA秘密鍵を使用してリクエストメッセージに署名します。サーバーは交換されたクライアントの公開鍵で署名を検証します。
利点
- Basic Authに比べてセキュリティが高く、非対称暗号化とデジタル署名を使用。
- 送信者の身元とメッセージの完全性を効果的に保証。
- リプレイ攻撃や中間者攻撃を防止。
欠点
- 公私鍵の管理を伴うため、実装が複雑。
2. Basic Auth
Basic Authenticationは、ユーザー名とパスワード（またはトークン）をBase64でエンコードし、リクエストヘッダーに送信する簡単な認証方式です。しかし暗号化は行われないため、HTTPSとIPホワイトリストの組み合わせが必要です。
現バージョンではBasic Authはサポートされておらず、次回のリリースで追加予定です。
動作原理
リクエスト側はユーザー名:パスワード形式をBase64でエンコードし、Authorizationヘッダーに含めます。サーバーはデコードしてユーザー名とパスワードを検証します。
利点
- 実装が簡単。
- 多くのHTTPクライアントとサーバーサイドライブラリが標準でサポート。
欠点
- Base64は単なるエンコードであり、暗号化にはならない。
- ユーザー名とパスワードが毎回送信されるため、漏洩リスクが高い。
データの完全性と安全な通信を保証するため、Basic AuthではなくRSA署名認証の使用を推奨します。
データ暗号化
データ漏洩や改ざんを防ぐために、機密データの保護にはRSAまたはAES暗号化が使用されます。
1. RSA暗号化（推奨）
RSAは非対称暗号化アルゴリズムであり、公開鍵で暗号化し、秘密鍵で復号します。少量の機密データの暗号化に適しています。
動作原理
送信者は受信者の公開鍵でデータを暗号化し、受信者は自分の秘密鍵で復号します。
利点
- 高いセキュリティ。
- 公開鍵は自由に配布可能で、秘密鍵は安全に保持。
欠点
- 公私鍵の管理が必要で、実装が複雑。
2. AES暗号化
AESは対称暗号化アルゴリズムであり、同じ鍵で暗号化と復号を行います。大量データの暗号化に適しています。
現バージョンではAES暗号化はサポートされておらず、次回のリリースで追加予定です。
動作原理
送信者と受信者は同じ鍵を共有し、データの暗号化と復号に使用します。
利点
- 高速かつ効率的。
- ファイルや長いテキストの暗号化に適している。
欠点
- 鍵交換が必要で、鍵の管理が課題。
少量の機密データにはRSA暗号化を推奨します。