اعتماد دیجیتال چیست؟ نقش امنیت API در ایجاد اعتماد در سازمان‌ها

در تابستان ۲۰۱۶ گروهی از پژوهشگران امنیتی نشان دادند که یک آسیب‌پذیری در API خودروی نیسان لیف اجازه می‌دهد نه‌فقط یک خودرو، بلکه هر خودرویی که به اپلیکیشن NissanConnect EV متصل است از راه دور کنترل شود. این ماجرا یک باگ فنی کوچک نبود؛ نشان داد وقتی یک API ناامن باشد، چیزی که از دست می‌رود فراتر از داده است: اعتماد کاربر به کل سرویس دیجیتال. امروز که APIها ستون فقرات تقریباً هر خدمت دیجیتالی سازمانی را تشکیل می‌دهند، این پرسش جدی‌تر از همیشه مطرح است: امنیت API چه نسبتی با اعتماد دیجیتال دارد، و سازمانی که می‌خواهد خودش را به‌عنوان یک منبع قابل‌اتکا معرفی کند، باید از کجا شروع کند؟

چیست و چرا برای سازمان‌ها اهمیت دارد؟ API

API یا رابط برنامه‌نویسی کاربردی، مجموعه‌ای از رویه‌ها، پروتکل‌ها و ابزارهایی است که به توسعه‌دهندگان امکان می‌دهد کدی بنویسند که با نرم‌افزارهای دیگر ارتباط برقرار کند. این تعریف ساده، پایه‌ یکی از مهم‌ترین تحولات دهه اخیر فناوری اطلاعات را تشکیل می‌دهد: APIها امروز عنصری بنیادین در نوآوری دنیای اپ‌محور به شمار می‌روند و از بانکداری و خرده‌فروشی گرفته تا حمل‌ونقل، اینترنت اشیا، خودروهای خودران و شهرهای هوشمند، در قلب تقریباً هر اپلیکیشن موبایل، سرویس ابری و وب‌اپلیکیشنی حضور دارند؛ چه در ارتباط با مشتری، چه با شرکای تجاری و چه در تعاملات داخلی سازمان.

نکته‌ای که کمتر دیده می‌شود این است که همان ویژگی که APIها را ارزشمند می‌کند، آن‌ها را هدف هم می‌کند: APIها به‌طبیعت خود منطق اپلیکیشن و داده‌های حساس از جمله اطلاعات هویتی کاربران (PII) را نمایان می‌کنند و به همین دلیل به‌طور فزاینده‌ای هدف مهاجمان قرار گرفته‌اند. به بیان OWASP، بدون APIهای امن، نوآوری سریع اساساً امکان‌پذیر نیست.

در نگاه فنی‌تر، وقتی سازمانی معماری خود را بر پایه میکروسرویس‌ها بنا می‌کند، هر یک از این سرویس‌های کوچک و مستقل معمولاً از طریق API با دیگر سرویس‌ها یا با کلاینت‌های اپلیکیشن ارتباط برقرار می‌کند. در این معماری، API عملاً نقش یک قرارداد میان کلاینت و سرویس را ایفا می‌کند؛ قراردادی که پیش از پیاده‌سازی نوشته و با توسعه‌دهندگان کلاینت مرور می‌شود.

API شبکه چه درهایی را به روی کسب‌وکارها باز می‌کند؟

رشد اقتصاد API به‌طور اساسی روش درآمدزایی بسیاری از کسب‌وکارها را دگرگون کرده است. جرقه اصلی این تحول از انقلاب گوشی‌های هوشمند زده شد: توسعه‌دهندگان اپلیکیشن‌های موبایل برای دسترسی به قابلیت‌های اپلیکیشن‌های وبی که پیش‌تر وجود داشتند، به API نیاز داشتند. نتیجه این روند، انفجاری از APIهاست که سازمان‌ها در همه صنایع را به سمت راهبردهای تحول دیجیتال گسترده و بازتعریف فرایندها و گردش‌کارها سوق داده است.

ظهور اینترنت اشیا فرصت‌های تجاری تازه‌ای پیرامون API ایجاد کرده، اما هم‌زمان لایه‌ای از ریسک را هم به همراه آورده است. نمونه‌ای ملموس، خودروهای متصل هستند: APIهایی که به مالک خودرو اجازه می‌دهند موقعیت آن را ردیابی یا درهایش را از راه دور قفل و باز کند. اما همان APIها می‌توانند نقطه ضعف باشند؛ نمونه نیسان لیف که پیش‌تر اشاره شد دقیقاً همین را نشان داد: وقتی لایه احراز هویت API درست طراحی نشود، همان کانالی که قرار بود ارزش ایجاد کند، به دروازه نفوذ تبدیل می‌شود. این تجربه‌ها روشن می‌کنند که اقتصاد API و اعتماد دیجیتال دو روی یک سکه‌اند؛ رشد یکی بدون دیگری پایدار نیست.

بیشتر بخوانید:

راهنمای جامع اقتصاد API و نقش کلیدی آن در تحول دیجیتال سازمانی

اعتماد دیجیتال چیست و چرا APIها در ایجاد آن نقش دارند؟

اعتماد دیجیتال را می‌توان این‌گونه توصیف کرد: میزان اطمینانی که کاربران، مشتریان و شرکای یک سازمان نسبت به نحوه مدیریت هویت، داده و تراکنش‌هایشان در یک سرویس دیجیتال دارند. این اعتماد چیزی انتزاعی نیست؛ در سطح فنی، هر فراخوانی API یک تصمیم اعتماد ضمنی را در خود حمل می‌کند: آیا این درخواست باید مجاز شمرده شود؟ آیا هویت درخواست‌دهنده تأیید شده است؟ آیا داده‌ای که برمی‌گردد فقط همان چیزی است که باید بازگردد؟

از همین‌روست که فراهم‌کردن تعاملات امن و مدیریت صحیح هویت‌های دیجیتال و احراز هویت، به‌ویژه در قلمروهای نسبتاً نوظهوری مثل اینترنت اشیا، نیازمند دقت بیشتری نسبت به گذشته است. وقتی APIها ضعیف طراحی شوند، این تصمیم‌های مربوط به اعتماد به‌درستی گرفته نمی‌شوند و نتیجه، از دست رفتن اعتماد کاربر است؛ چیزی که بازسازی‌اش بسیار دشوارتر از رفع یک باگ فنی است.

بیشتر بخوانید:

اعتماد دیجیتال؛ یک مزیت رقابتی استراتژیک برای کسب‌وکارها

چرا امنیت API برای اعتماد دیجیتال اهمیت دارد؟

امنیت API روی راهبردها و راهکارهایی متمرکز است که آسیب‌پذیری‌ها و ریسک‌های خاص APIها را شناسایی کرده  و کاهش می‌دهند. علت اهمیت این موضوع ساده است: از آنجا که APIها در ساختار خود منطق کسب‌وکار و داده‌های حساس را در معرض دید می‌گذارند، هر ضعف امنیتی در آن‌ها می‌تواند مستقیماً به افشای داده، سوءاستفاده از عملکرد سیستم یا اختلال در سرویس منجر شود. وقتی چنین اتفاقی می‌افتد، آسیب فقط فنی نیست؛ اعتماد کاربران و شرکای تجاری به کل سرویس دیجیتال خدشه‌دار می‌شود. به همین دلیل، امنیت API را باید پیش‌شرط اعتماد دیجیتال دانست، نه یک لایه اختیاری روی آن.

بیشتر بخوانید:

API شبکه چه درهایی را به روی کسب‌وکارها باز می‌کند؟

مهم‌ترین تهدیدهای امنیتی API از نگاه OWASP

پروژه امنیت API سازمان OWASP فهرست ده تهدید برتر APIها را منتشر می‌کند که آخرین نسخه آن در سال ۲۰۲۳ به‌روزرسانی شده است. آشنایی با این فهرست، نقطه شروع خوبی برای هر سازمانی است که می‌خواهد ریسک‌های API خود را بشناسد:

• نقض کنترل دسترسی در سطح شیء API :ها معمولاً شناسه اشیا را در اختیار کلاینت قرار می‌دهند و اگر بررسی سطح دسترسی برای هر شیء انجام نشود، سطح حمله وسیعی شکل می‌گیرد.
• شکست در احراز هویت: پیاده‌سازی نادرست مکانیزم‌های احراز هویت می‌تواند به مهاجم اجازه دهد توکن‌ها را به خطر بیندازد یا هویت کاربر دیگری را جعل کند.
• نقض کنترل دسترسی در سطح ویژگی شیء: ترکیبی از افشای بیش از حد داده و تخصیص انبوه که از نبود اعتبارسنجی مجوز در سطح ویژگی‌های داده ناشی می‌شود.
• مصرف نامحدود منابع: پاسخ به درخواست‌های API به پهنای باند، پردازنده، حافظه و گاهی خدمات پرداختی نیاز دارد؛ سوءاستفاده از آن می‌تواند به denial of service یا افزایش هزینه عملیاتی منجر شود.
• نقض کنترل دسترسی در سطح عملکرد: سیاست‌های پیچیده کنترل دسترسی با سلسله‌مراتب و نقش‌های نامشخص، زمینه‌ساز دسترسی کاربر عادی به عملکردهای مدیریتی است.
• دسترسی نامحدود به فرایندهای حساس کسب‌وکار: وقتی یک فرایند کسب‌وکار مثل خرید بلیت بدون در نظر گرفتن سوءاستفاده خودکار در معرض API قرار می‌گیرد.
• جعل درخواست سمت سرور: زمانی رخ می‌دهد که API بدون اعتبارسنجی آدرس ورودی کاربر، یک منبع راه‌دور را فراخوانی می‌کند.
• پیکربندی نادرست امنیتی: پیکربندی‌های پیچیده‌ای که اگر مطابق بهترین شیوه‌ها تنظیم نشوند، دری برای انواع حملات باز می‌کنند.
• مدیریت نادرست موجودی:  APIها معمولاً نقاط پایانی بیشتری نسبت به اپلیکیشن‌های وب سنتی دارند و مستندسازی ناقص، خطر نسخه‌های منسوخ را افزایش می‌دهد.
• مصرف ناامن APIهای دیگر: توسعه‌دهندگان معمولاً به داده دریافتی از APIهای شخص ثالث بیش از ورودی کاربر اعتماد می‌کنند.

این فهرست نشان می‌دهد که بخش قابل‌توجهی از تهدیدهای امنیتی API نه از یک آسیب‌پذیری فنی پیچیده، بلکه از خطاهای طراحی در کنترل دسترسی و اعتبارسنجی نشأت می‌گیرد.

چگونه می‌توان APIهای سازمانی را امن کرد؟

سند NIST SP 800-204 که به‌طور مشخص به راهبردهای امنیتی سامانه‌های مبتنی بر میکروسرویس می‌پردازد، چند لایه مشخص برای امن‌سازی APIها پیشنهاد می‌کند:

• احراز هویت: از آنجا که میکروسرویس‌ها به‌شکل API بسته‌بندی می‌شوند، نخستین گام احراز هویت معمولاً از طریق کلید API انجام می‌شود، اما این سند تأکید دارد که دسترسی به APIهایی که داده حساس را در اختیار دارند نباید صرفاً با کلید API انجام شود؛ باید از توکن‌های امضاشده دیجیتال یا توکن‌هایی که با یک منبع معتبر تأیید می‌شوند استفاده کرد و برای برخی سرویس‌ها توکن‌های تک‌مصرفی یا کوتاه‌عمر در نظر گرفت. استفاده از استانداردهایی مثل OAuth0 یا OpenID Connect نیز باید با پیاده‌سازی امن همراه باشد.
• مدیریت دسترسی: سیاست‌های دسترسی باید در یک سرور دسترسی متمرکز تعریف و اعمال شوند؛ سیاست‌های سطح‌بالا در دروازه اصلی API و سیاست‌های دقیق‌تر نزدیک به خود میکروسرویس تعریف می‌شوند.
• ارتباط امن: کلاینت‌ها نباید مستقیماً با سرویس هدف تماس بگیرند، بلکه باید به یک آدرس واحد دروازه اشاره کنند؛ ارتباط بین کلاینت و دروازه و همچنین بین سرویس‌ها باید پس از احراز هویت متقابل (مثلاً با mTLS) رمزنگاری‌شده انجام شود. برای سازمان‌هایی که داده‌های حساس یا تله‌متری را از طریق API منتقل می‌کنند، استفاده از راهکارهایی مانند: شبکه امن همراه (APN) ایرانسل می‌تواند به ایجاد ارتباط خصوصی و کنترل‌شده کمک کند.
• پایش امنیتی: پایش باید هم در سطح دروازه و هم در سطح سرویس انجام شود تا رفتارهایی مثل استفاده مجدد از توکن حامل یا حملات تزریق (Injection Attacks) شناسایی شوند؛ ایجاد یک خط‌مبنا برای رفتار عادی سیستم، تشخیص انحراف از آن را ممکن می‌کند.
• محدودسازی نرخ درخواست: سقف تعداد فراخوانی هر کلاینت در بازه زمانی مشخص باید بر اساس برنامه‌های مصرف API تعیین شود؛ برای سرویس‌های حساس‌تر، تشخیص بازپخش درخواست هم باید پیاده‌سازی شود.
• مقابله با حملات مبتنی بر اینترنت: تشخیص سوءاستفاده از اعتبارنامه و حملات بات‌نت Botnet) Attacks)  باید در زمان اجرا و نه فقط با تحلیل آفلاین، انجام شود.

نقش API Gateway و Microservices در امنیت سازمانی

وقتی سازمانی معماری خود را بر پایه میکروسرویس‌ها بنا می‌کند، به‌جای یک اپلیکیشن یکپارچه با یک نقطه ورود، ده‌ها یا صدها سرویس کوچک با نقاط پایانی متعدد شکل می‌گیرد. دو چارچوب معماری اصلی برای مدیریت امن این پیچیدگی وجود دارد.

API Gateway نقطه ورود واحدی برای همه کلاینت‌ها فراهم می‌کند و درخواست‌ها را به سرویس پایین‌دستی درست هدایت می‌کند. علاوه بر مسیریابی، دروازه معمولاً ترجمه پروتکل، ترکیب چند درخواست در یک پاسخ، احراز هویت و کنترل دسترسی متمرکز، محدودسازی نرخ، کش‌کردن پاسخ، و قطع‌کننده مدار (Circuit Breaker) را هم پوشش می‌دهد. قطع‌کننده مدار به‌طور خاص از گسترش خرابی جلوگیری می‌کند: وقتی نرخ خطای یک سرویس از آستانه‌ای عبور کند، دروازه به‌جای ادامه ارسال درخواست به آن، مسیر را قطع می‌کند تا زمان برای رفع مشکل فراهم شود.

Service Mesh یک لایه زیرساختی اختصاصی برای ارتباطات یکپارچه سازمانی  و ارتباط سرویس‌به‌سرویس (ترافیک شرق-غرب) است که کشف سرویس، مسیریابی، رمزنگاری، احراز هویت و پایش را از طریق یک پراکسی کنار هر سرویس (sidecar proxy) پیاده می‌کند. جدایی صفحه داده و صفحه کنترل در این معماری، امکان تغییر پویای سیاست‌های امنیتی را بدون تغییر کد میکروسرویس فراهم می‌کند.

نکته‌ای که NIST به‌روشنی به آن اشاره می‌کند این است که اتکای صرف به دروازه یا مش سرویس، جایگزین امن‌سازی خود میکروسرویس نیست؛ توسعه‌دهندگان نباید تصور کنند که دروازه یا مش سرویس همه امنیت لازم را فراهم می‌کند، چون بسیاری از حملات کلاسیک وب مثل تزریق و XSS همچنان باید در سطح کد میکروسرویس کنترل شوند.

حریم خصوصی و رضایت کاربر؛ بخش دیگری از اعتماد دیجیتال

اعتماد دیجیتال فقط به امنیت فنی محدود نمی‌شود؛ حریم خصوصی و رضایت کاربر بخش جدایی‌ناپذیر آن است. از آوریل ۲۰۱۶ که مقررات عمومی حفاظت از داده اتحادیه اروپا (GDPR) برای اجرا در سال ۲۰۱۸ کلید خورد، این اصل تثبیت شد که بالاترین سطح حریم خصوصی باید به‌صورت پیش‌فرض فعال باشد و توسعه‌دهندگان باید تنظیمات حافظ حریم خصوصی را برای همه اپلیکیشن‌ها و وب‌سایت‌ها طراحی کنند؛ نکته کلیدی این مقررات آن است که حریم خصوصی و حفاظت از داده نباید فقط در سطح کاربر نهایی دیده شود، بلکه باید از همان سطح API در طراحی گنجانده شود.

در پاسخ به این نیاز، استاندارد دسترسی مدیریت‌شده توسط کاربر (UMA) شکل گرفت: استانداردی که به افراد یک نقطه کنترل یکپارچه می‌دهد تا مشخص کنند چه کسی و چه چیزی به منابع ابری، موبایل و اینترنت اشیای آن‌ها دسترسی دارد. کاربران می‌توانند داده و دسترسی API را به‌صورت انتخابی با طرف‌های دیگر به اشتراک بگذارند، رضایت را با دقت بیشتری پس بگیرند بی‌آنکه سایر جریان‌های داده مختل شوند، و تفویض و رضایت را از یک نقطه مرکزی مدیریت کنند. نمونه عملی این رویکرد را می‌توان در پلتفرم‌های سلامت دیجیتال دید که امکان اشتراک‌گذاری انتخابی داده سلامت با اعضای خانواده یا پزشکان را برای کاربر فراهم می‌کنند تا اعتماد بیمار حفظ شود.

چالش‌های ایجاد اعتماد دیجیتال در اکوسیستم API

چند چالش واقعی، مسیر ساخت اعتماد دیجیتال را دشوار می‌کنند.

۱. نخست، رشد سریع اینترنت اشیا (IoT-M2M) نسبت به گوشی‌های هوشمند، شیوه تعامل کاربران با دستگاه‌های متصل را تغییر داده است. امروزه خودروهای متصل و سایر دستگاه‌های هوشمند می‌توانند به‌صورت مستقیم و مداوم به شبکه‌های ارتباطی متصل باشند و داده‌هایی مانند موقعیت مکانی را ارسال کنند. در چنین شرایطی، انتظار اینکه کاربر برای هر تعامل با یک دستگاه هوشمند، اپلیکیشن مربوط به آن را باز کند و به‌صورت جداگانه رضایت خود را اعلام کند، در مقیاس گسترده عملی نیست. به همین دلیل، مدل‌های سنتی دریافت رضایت کاربر که برای تعاملات محدود و مشخص طراحی شده‌اند، برای محیط‌های گسترده و دائماً متصل اینترنت اشیا پاسخ‌گوی نیازهای جدید نیستند.

۲. دوم، افزایش سطح حمله در معماری میکروسرویس. برخلاف اپلیکیشن یکپارچه که مجموعه کوچکی از رابط‌های فراخوانی از راه دور را در معرض دید می‌گذارد، معماری میکروسرویس تقریباً همیشه مجموعه بزرگ‌تری از رابط‌های قابل آدرس‌دهی روی اینترنت را نمایان می‌کند، و پیچیدگی بیشتر سیستم احتمال از قلم افتادن یک بررسی امنیتی را بالا می‌برد.

۳. سوم، خرابی زنجیره‌ای. چون بسیاری از تراکنش‌های کسب‌وکار به اجرای متوالی چند سرویس نیاز دارند، خرابی یک سرویس بالادستی می‌تواند سرویس‌های وابسته را هم از کار بیندازد؛ این ریسک بدون طراحی درست قطع‌کننده مدار، به‌سرعت از یک اختلال کوچک به یک بحران اعتماد تبدیل می‌شود.

۴. چهارم، ناکافی بودن فناوری‌ها و رویکردهای صرفاً انطباقی قدیمی. روش‌ها و فناوری‌های تازه حریم خصوصی باید به‌طور گسترده در بازارهای مختلف به کار گرفته شوند، زیرا رویکردی که صرفاً بر رعایت الزامات قانونی و مقرراتی تکیه دارد، به‌تنهایی نمی‌تواند پاسخ‌گوی چالش‌های جدید حریم خصوصی باشد و بیشتر یک راه‌حل موقت محسوب می‌شود.

بیشتر بخوانید:

بازیابی از حادثه (DRaaS)؛ استاندارد نوین تداوم کسب‌وکار در عصر دیجیتال

چگونه سازمان‌ها می‌توانند اعتماد دیجیتال را تقویت کنند؟

با کنار هم گذاشتن یافته‌های فنی و رویکردهای حریم خصوصی، سه مسیر عملی برای تقویت اعتماد دیجیتال در سازمان قابل شناسایی است:

• پوشش‌دادن فهرست تهدیدهای شناخته‌شده: سازمانی که کنترل دسترسی در سطح شیء و عملکرد، احراز هویت قوی، محدودسازی مصرف منابع و مدیریت موجودی API را طبق فهرست OWASP پوشش می‌دهد، بخش عمده سطح حمله شناخته‌شده را می‌بندد.
• طراحی رضایت‌محور به‌جای طراحی صرفاً انطباقی: رویکردهایی مثل UMA نشان می‌دهند که اعتماد وقتی پایدار می‌ماند که کاربر کنترل واقعی و قابل‌فهم روی داده و دسترسی خود داشته باشد.
• هم‌راستایی تیم‌های فنی و کسب‌وکار: امنیت API دیگر صرفاً پروژه‌ای در تیم فنی نیست؛ مدیران بازاریابی و مدیران حریم خصوصی و محصول باید در یک نقطه با هم به توافق برسند.

امنیت API؛ یک موضوع فنی یا یک مسئله کسب‌وکاری؟

هر دو، اما با اولویت روشن برای بُعد کسب‌وکاری. رشد اقتصاد API نشان داده که مدل درآمدی بسیاری از سازمان‌ها اکنون مستقیماً از طریق API شکل می‌گیرد؛ به همین دلیل، ناامنی API دیگر فقط یک ریسک فنی نیست، بلکه تهدیدی مستقیم برای همان مدل درآمدی است. از طرف دیگر، OWASP هم صراحتاً امنیت API را پیش‌نیاز نوآوری سریع می‌داند، نه مانعی در برابر آن.

نتیجه عملی برای مدیران ارشد این است که تصمیم‌های مربوط به امنیت API (از انتخاب مدل احراز هویت گرفته تا سطح شفافیتی که به کاربر در مورد اشتراک‌گذاری داده داده می‌شود) باید در سطح مدیریتی و نه فقط در سطح تیم توسعه گرفته شود، چون پیامد یک تصمیم غلط، مستقیماً روی اعتماد برند و رابطه با مشتری اثر می‌گذارد.

کلام آخر

پیاده‌سازی عملی همه این راهبردها به زیرساختی نیاز دارد که بتواند بار پردازشی APIها را به‌شکل پایدار و ایزوله میزبانی کند. زیرساخت ابری ایرانسل (IaaS) با امکاناتی مانند شبکه خصوصی ابری، فایروال اختصاصی و پشتیبان‌گیری خودکار، محیطی امن برای اجرای سرویس‌هایی مانند دروازه API، سرویس‌های احراز هویت و پایگاه‌های داده فراهم می‌کند. این سرویس‌ها می‌توانند در زیرساخت ابری مستقر شوند و بدون قرار گرفتن در معرض دسترسی مستقیم از اینترنت عمومی، به‌صورت ایزوله فعالیت کنند.

در کنار میزبانی، مسیر انتقال داده هم بخشی از زنجیره اعتماد است. برای سازمان‌هایی که داده حساس یا تله‌متری میدانی را از طریق API جمع‌آوری می‌کنند، از جمله در پروژه‌های اینترنت اشیا (IoT-M2M)،  شبکه امن همراه (APN) ایرانسل مسیری خصوصی روی بستر موبایل ایجاد می‌کند که ترافیک را بدون عبور از اینترنت عمومی جابه‌جا می‌کند و امکان تخصیص IP ثابت و اعمال سیاست دسترسی دقیق‌تر را فراهم می‌سازد. این دو لایه، در کنار ارتباطات یکپارچه سازمانی برای هماهنگی سرویس‌های داخلی و خدمات دیجیتال ایرانسل برای توسعه و مدیریت اپلیکیشن‌ها، زیرساختی می‌سازند که امنیت API را از یک هدف انتزاعی به یک قابلیت قابل‌پیاده‌سازی تبدیل می‌کند.

اگر برای پیاده‌سازی امن APIها، حفاظت از داده‌های حساس و ایجاد زیرساخت ارتباطی پایدار در سازمان خود به راهکار متناسب با نیازتان نیاز دارید، برای دریافت مشاوره اختصاصی درباره راهکارهای مدیریت‌شده ارتباطی ایرانسل، با شماره‌گیری کد دستوری #۳* از خطوط ایرانسلی خود اقدام کنید یا درخواست خود را به آدرس EB@mtnirancell.ir ارسال کنید.

منابع

https://owasp.org/www-project-api-security/

https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-204.pdf