"Sicurezza IT" consiste in obiettivi molto diversi. La crittografia descrive le tecnologie che possono essere utilizzate per raggiungere questi obiettivi, ma non è un obiettivo in sé.
Un modo per guardare IT-Sec è la triade C-I-A: riservatezza, integrità e disponibilità delle informazioni. La riservatezza descrive che le informazioni sono limitate ai destinatari previsti. Per un'API, questo di solito significa:
-
Gli utenti devono autenticarsi quando contattano l'API, cioè dimostrare che si tratta di un utente autorizzato ad accedere a tali informazioni. Gli schemi di autenticazione di solito implicano crittografia (ad esempio password in chiaro su una connessione crittografata o uno schema di autenticazione asimmetrico).
-
La comunicazione tra utente e API è confidenziale, cioè crittografata. L'utilizzo di una connessione HTTPS è un modo semplice per farlo.
La crittografia del trasporto senza autenticazione non garantisce la riservatezza, perché potresti avere una connessione crittografata con un utente non autorizzato. E la comunicazione in chiaro con un utente autorizzato non garantisce la riservatezza poiché i contenuti della comunicazione sarebbero visibili ad altri utenti della stessa rete e ai provider di rete stessi. Quindi generalmente hai bisogno di entrambi.
Non tutti i dati richiedono lo stesso tipo di protezione. La sensibilità dei dati non è sempre ovvia (ad esempio vedere il problema del serbatoio tedesco). Tuttavia, l'uso della crittografia con HTTPS è diventato così facile ed economico che non ci sono buoni motivi per evitare la crittografia del trasporto. L'HTTPS dovrebbe quindi essere considerato come una base minima per la sicurezza.