mrtn78
commented
2 years ago Graag de verwijzing naar API Design rule API-58 uitbreiden met de voorgestelde oplossingsrichting die is beschreven in Pull request 464
Do not put any sensitive information in URIs - Use the POST or QUERY HTTP operation instead.
Aanleiding
Uit het Onderzoek ‘verwijzing naar de 'ADR API Security Extensie' vanuit de Digikoppeling Beveiligingsvoorschriften’
https://logius.nl/diensten/digikoppeling/documentatie/digikoppeling-roadmap-2022-2023#index-9
Is regel API-58 ‘No sensitive information in URIs’ gekomen als geschikt om normatief te maken.
Wijziging
API-58 No sensitive information in URIs
https://docs.geostandaarden.nl/api/API-Strategie-ext/#api-58 No sensitive information in URIs
Do not put any sensitive information in URIs Even when the connection is secure URIs can be cached and logged, in systems outside the control of client and/or server.
Toelichting
Zelfs bij gebruik van op TLS gebaseerde beveiligde verbindingen is informatie in URI's niet beveiligd. URI's kunnen in de cache worden opgeslagen en worden gelogd buiten de servers die worden beheerd door clients en servers. Alle informatie daarin moet daarom als leesbaar worden beschouwd door iedereen met toegang tot het netwerk dat wordt gebruikt (in het geval van internet de hele wereld) en MAG GEEN gevoelige informatie bevatten. Noch clientgeheimen die worden gebruikt voor authenticatie, privacygevoelige informatie zoals BSN's of andere informatie die niet mag worden gedeeld. Houd er rekening mee dat zoekopdrachten (alles na de '?' in een URI) ook deel uitmaken van een URI.
Voorgestelde aanpassing
Regel API-58 wordt toegevoegd aan: https://publicatie.centrumvoorstandaarden.nl/dk/restapi/#afspraken-api-design-rules-extensies
Zie wijzigingen: Wijzigingen Pull request
Zie voorgestelde aanpassing: Aangepaste versie (preview)
Bijlage Overzicht regels in ADR Security Extensie