APISignaturen

APISignaturen bezeichnet kryptografische Signaturen, die zur Verifizierung der Authentizität und Integrität von API-Anfragen und -Antworten verwendet werden. Sie ermöglichen es einem Dienst, sicherzustellen, dass eine Anfrage von einem berechtigten Client stammt und nicht während der Übertragung verändert wurde.

Funktionsweise: Der Client erstellt eine Signatur über eine kanonische Darstellung der Anfrage (HTTP-Methode, Pfad, Abfrageparameter, relevante Header, ggf. Body) mittels eines geheimen Schlüssels. Die Signatur wird dem Request beigefügt, beispielsweise in einem Authorization-Header oder als Signatur-Parameter. Der Server reproduziert die Signatur mit dem bekannten Schlüssel und vergleicht die Werte; ist die Signatur übereinstimmend, gilt die Anfrage als authentisch.

Signaturen können symmetrisch (z. B. HMAC mit einem gemeinsamen Geheimnis) oder asymmetrisch (RSA- oder ECDSA-Schlüsselpaare) erstellt werden. Bekannte Ansätze sind OAuth 1.0a mit Signaturen, AWS Signature Version 4 und JWT-basierte Signaturen für Token. Signaturen schützen Integrität und Authentifikation, ersetzen aber nicht TLS gegen Abhören.

Sicherheit und Best Practices: Verwenden Sie starke Schlüssel, rotieren Sie regelmäßig, isolieren Sie Schlüssel je Anwendung, beschränken Sie Berechtigungen, setzen Sie TLS ein und implementieren Sie Schutz gegen Replay-Angriffe (Nonces, Zeitstempel, Ablaufdaten). Vermeiden Sie unnötige Signatur-Komplexität und halten Sie die Canonicalisierung konsistent.

Anwendungsgebiete umfassen Cloud-Interfaces, Microservices, Zahlungsdienste und API-Integrationen, bei denen Vertraulichkeit, Integrität und Nachweis der Absenderidentität erforderlich sind.