Utvärdering av säkerhetsrisker och motåtgärder inom GraphQL-API:er : En experimentell studie fokuserad på säkerhet och prestanda

Sammanfattning

GraphQL har under det senaste årtiondet etablerat sig som ett flexibelt alternativ till traditionella REST-API:er, men flexibilitetens styrka medför samtidigt nya säkerhetsutmaningar. Tidigare forskning har främst beskrivit dessa risker på teoretisk nivå och saknar i hög grad transparenta implementationer av motåtgärder utvärderade i realistiska miljöer. Denna studie syftar till att presentera och utvärdera konkreta implementationsförslag på säkerhetsåtgärder mot centrala säkerhetsrisker i en Nexta-liknande GraphQL-applikation, samt analysera dessa åtgärders påverkan på applikationens prestanda och säkerhet. Studien genomförs som ett kontrollerat experiment i två faser, där en oskyddad och en skyddad implementation utsätts för samma typ av attacker inom tre kategorier, nämligen DoS-attacker (djupt nästlade queries, batchförfrågningar, aliasbaserade attacker), SQL-injektion samt brister i autentisering och auktorisering. Prestandavärden samlas in med verktyget Autocannon och inkluderar svarstid, throughput, CPU- och RAM-användning samt antalet databasanrop per request. Resultaten visar att samtliga implementerade åtgärder eliminerar eller kraftigt reducerar respektive sårbarhet inom studiens testförhållanden. DoS-attacker som överskrider de definierade gränserna blockeras, men till en kostnad av hög CPU-användning. Injektionsförsök kunde åtgärdas effektivt med parameterbaserade queries och samtliga obehöriga queries kunde avvisas med införd identitets- och behörighetslogik. Studien bidrar med en dokumenterad implementation och en empirisk utvärdering inklusive en bred uppsättning mätvärden i en produktionslik miljö.