Banking-APIs absichern Geschäftslogik, Autorisierung und Sitzungen gegen Missbrauch stärken
Partnerprojekt von Innowise
Projektprofil
- KundeNicht namentlich genannt
- PartnerInnowise
- BrancheBankwesen
Ausgangslage
Eine Geschäftsbank war mit betrügerischen bankinternen Überweisungen konfrontiert. Kritische Schwächen in der API-Logik ermöglichten die Nutzung nicht dokumentierter Funktionen. Ziel war es, die Ursachen zu identifizieren und unberechtigte Aktionen wirksam einzuschränken.
Lösung
White-Box-Prüfung der Geschäftslogik
Innowise untersuchte interne und externe Schichten der Anwendung mit Einblick in die Implementierung. Im Fokus standen versteckte Schwächen und die Validierung relevanter Geschäftsvorgänge.
Mehrere Schutzmechanismen kombinieren
Auf Basis der Befunde wurden strengere Validierungsregeln, mehrere Autorisierungsebenen und verbesserte Sitzungskontrollen ergänzt. Die Plattform erkennt und blockiert laut Projektbeschreibung verdächtige Aktivitäten in Echtzeit.
Schutzschichten um den Bankvorgang
Bankvorgang: Anfrage → Validierung: Geschäftsregeln; Validierung: Geschäftsregeln → Autorisierung: Mehrere Ebenen; Autorisierung: Mehrere Ebenen → Sitzungskontrolle: Berechtigter Kontext; Sitzungskontrolle: Berechtigter Kontext → Ausführung: Zulässiger Vorgang; Validierung: Geschäftsregeln → Abweisen / blockieren: Verdächtige Aktivität; Autorisierung: Mehrere Ebenen → Abweisen / blockieren: Verdächtige Aktivität; Sitzungskontrolle: Berechtigter Kontext → Abweisen / blockieren: Verdächtige Aktivität.
Technologien
- Java / Spring Boot
- TypeScript / REST API
- SonarQube / Checkmarx
Ergebnisse
Die Überarbeitung stärkte die digitale Banking-Umgebung und reduzierte das beschriebene Betrugsrisiko. Die Quelle enthält keine belastbare Prozentzahl und belegt keinen vollständigen Ausschluss zukünftiger Angriffe.
- API-Logik geprüft
- Validierung und Autorisierung verstärkt
- Sitzungskontrollen verbessert
Projektprofil
- KundeNicht namentlich genannt
- PartnerInnowise
- BrancheBankwesen
Technologien
- Java / Spring Boot
- TypeScript / REST API
- SonarQube / Checkmarx
