API-密钥：这是什么以及如何安全使用它？

Question

应用程序接口-关键代表着唯一的代码，应用于接口的程序开发，用于识别程序或用户。这些关键在监控和调节应用程序接口的使用中发挥着重要作用，也在应用程序的身份验证和授权中起着类似用户名和密码的功能。API-关键可以是单一的，也可以由多个元素组成。为了提高整体保护，防止API-关键被盗以及相关的风险，建议用户关注安全最佳实践。

应用程序接口和API密钥的概念

为了理解API密钥的本质，首先需要弄清楚API的概念。应用程序接口(API)是一个软件中介，确保两个或多个程序之间的信息交换。例如，Gate的API允许其他应用程序获取和使用有关加密货币的数据，如价格、交易量和市场资本化。

API密钥可以有多种形式：它可以是单个密钥或一组多个密钥。在不同的系统中，这些密钥用于类似于用户名和密码的方式进行程序的身份验证和授权。API密钥由API客户端用于确认请求API的应用程序的真实性。

例如，如果 Gate Academy 希望使用 API Gate，API 密钥将在 Gate 中生成，并用于对 Gate Academy ( 客户端 API) 进行身份验证，以请求访问 API。当 Gate Academy 访问 API Gate 时，该 API 密钥必须与请求一起发送到 Gate。

该API密钥仅应由Gate Academy使用，不得转让给其他人。共享此API密钥将允许第三方以Gate Academy的名义访问Gate，第三方的任何行为看起来都将是来自Gate Academy。

API-关键也可以用于API Gate确认程序是否被授权访问请求的资源。此外，API的所有者使用API-关键来监控API的活动，包括类型、流量和请求量。

API-密钥的本质

应用程序接口密钥用于控制和跟踪API的使用。术语“应用程序接口密钥”在不同的系统中可能具有不同的含义。有些系统使用一个代码，其他系统可能为一个应用程序接口密钥应用多个代码。

因此，"API-密钥"是一个唯一的代码或一组唯一的代码，用于API中对用户或调用程序的身份验证和授权。有些代码用于身份验证，其他则用于生成加密签名，以确认请求的合法性。

认证代码通常被称为"API-密钥"，而用于加密签名的代码则有不同的名称，如"私钥"、"公钥"或"密钥"。认证意味着识别参与者并确认他们所声明的身份。

授权反过来决定了哪些API服务可以访问。API密钥的功能类似于账户的用户名和密码；它可以与其他安全功能集成，以提高整体安全级别。

每个API密钥通常是由API的所有者为特定对象创建的，并且在每次访问需要用户身份验证或授权，或两者都需要的API端点时，都会使用相应的密钥。

加密签名

一些应用程序接口密钥使用加密签名作为额外的验证层。当用户打算将特定数据发送到应用程序接口时，可以将由另一个密钥生成的数字签名添加到请求中。通过使用加密技术，API的所有者可以验证该数字签名与发送的数据的一致性。

对称和非对称签名

通过API传输的数据可以使用与以下类别相关的加密密钥进行签名:

对称密钥

这是使用一个秘密密钥来签署数据和验证签名。当使用对称密钥时，API-密钥和秘密密钥通常由API的拥有者生成，且相同的秘密密钥必须由API服务用于验证签名。使用单一密钥的主要优点在于在生成和验证签名时具有更高的速度和更低的计算成本。对称密钥的一个显著例子是HMAC。

非对称密钥

这是使用两个密钥：私钥和公钥，虽然不同但在密码学上是相关的。私钥用于创建签名，而公钥用于验证签名。应用程序接口密钥由API的拥有者生成，而私钥和公钥的对是由用户创建的。API的拥有者必须仅使用公钥来验证签名，以便私钥保持本地和机密。

非对称密钥的主要优点是通过分离生成和验证签名的过程提高了安全性。这使得外部系统能够验证签名，而无法创建它们。另一个优点是某些非对称加密系统支持向私钥添加密码。一个好的例子是RSA密钥对。

API-应用程序接口安全性

API-密钥的责任在于用户。API-密钥类似于密码，需要同样的谨慎处理。共享API-密钥类似于传递密码，因此不应向他人透露，因为这会对用户账户造成风险。

应用程序接口-密钥常常成为网络攻击的目标，因为它们可以用于在系统中执行强大的操作，例如请求个人信息或金融交易。实际上，曾经发生过成功攻击在线代码数据库以盗取应用程序接口-密钥的案例。

API-密钥被盗的后果可能是严重的，会导致显著的财务损失。此外，由于某些API-密钥没有到期时间，恶意攻击者可以在密钥被盗后无限期地使用它们，直到这些密钥被撤销。

关于使用应用程序接口密钥的建议

考虑到对机密数据的访问和整体脆弱性，安全使用应用程序接口密钥至关重要。在使用应用程序接口密钥时，请遵循以下最佳实践，以提高其整体安全性：

定期更新应用程序接口密钥。这意味着删除当前的应用程序接口密钥并创建一个新的。在大多数系统中，生成和删除应用程序接口密钥相对简单。就像某些系统要求每30-90天更改密码一样，如果可能的话，应该以相同的频率更新应用程序接口密钥。
使用IP地址白名单：在创建API密钥时，列出允许使用该密钥的IP地址 (白名单IP地址)。您还可以指定被阻止的IP地址列表 (黑名单IP地址)。这样，即使您的API密钥被盗，来自未知IP地址的访问也将无法进行。
应用多个应用程序接口密钥：拥有多个密钥并在它们之间分配职责将降低安全风险，因为您的保护将不再依赖于一个具有扩展权限的密钥。您还可以为每个密钥设置不同的IP地址白名单，这将进一步提高安全级别。
安全保存应用程序接口密钥：不要将密钥保存在公共场所、公共电脑上或以明文形式保存。相反，使用加密或密码管理器为每个密钥提供更大的保护，并小心不要意外泄露它们。
不要将您的应用程序接口密钥传递给任何人。共享应用程序接口密钥就像泄露您的密码一样。在这种情况下，您将向另一方提供您的身份验证和授权权限。如果发生泄露，您的应用程序接口密钥可能会被窃取并用于破解您的账户。应用程序接口密钥应仅在您和生成它的系统之间使用。

在您的API密钥被泄露的情况下，首先需要禁用它以防止进一步的损害。如果发生财务损失，请截取与事件相关的关键信息的屏幕截图，联系相关机构并向执法机关报案。这是提高追回损失资金几率的最有效方法。

结论

API密钥提供基本的身份验证和授权功能，用户必须仔细管理自己的密钥并保护它们。确保安全使用API密钥有很多级别和方面。总体而言，API密钥应被视为您帐户的密码，并应相应对待。