民國115年 高考三級 資通安全 資通安全防護技術
第1題
某機關提供行動App 與外部系統串接API，API 服務常見資安風險，請 從「身分驗證與Token 管理」、「物件層級授權」、「流量限制」、「輸入 輸出控管」四…
題目
某機關提供行動App 與外部系統串接API，API 服務常見資安風險，請 從「身分驗證與Token 管理」、「物件層級授權」、「流量限制」、「輸入 輸出控管」四個面向提出防護措施。（25 分）
參考解答（AI 生成，非官方）
- 一、身分驗證與 Token 管理：採用 OAuth 2.0 與 OpenID Connect 架構，核發短效 Access Token 並搭配 Refresh Token 輪替（rotation）與綁定裝置；權杖應以 mTLS 或 DPoP 強化持有者證明，避免 Bearer Token 被竊後直接冒用。client_secret 與私鑰須存放於金鑰管理服務（KMS）或硬體安全模組（HSM），不得硬編碼於行動 App；並提供撤銷（revocation）機制與異常重放偵測。
- 二、物件層級授權（Object Level Authorization, OLA）：此類缺失常對應 OWASP API Security Top 10 的 BOLA（Broken Object Level Authorization）。伺服器端須於每次請求以工作階段身分查核「該使用者是否有權存取該筆物件」，不可僅憑 URL 中的識別碼；對外識別碼改用 UUID 取代循序流水號，落實 RBAC 或 ABAC 與最小權限，並以自動化測試涵蓋越權（IDOR）案例。
- 三、流量限制（Rate Limiting）：依來源 IP、帳號、API Key 與端點建立多層配額，採權杖桶（token bucket）或漏桶演算法；對登入、簡訊發送、資料匯出等高風險端點加嚴，超量回應 HTTP 429 並要求指數退避（exponential backoff）。另搭配 WAF、Bot 管理與基線告警，以防暴力破解、列舉（enumeration）與大量爬取。
- 四、輸入輸出控管：以 OpenAPI Schema 白名單驗證參數型別、長度與格式，防範 SQL Injection、NoSQL Injection、SSRF 與命令注入；輸出採最小欄位原則，避免過度揭露（excessive data exposure）敏感欄位。回應標頭應設定 Cache-Control: no-store、正確 Content-Type 與 CORS 白名單，錯誤訊息不得回傳堆疊軌跡。
- 五、綜合治理：建立 API 資產清冊與版本汰換機制、日誌集中留存並導入 SIEM 關聯分析、定期執行滲透測試與弱點掃描；並將上開控制納入系統開發生命週期（SDLC）與委外契約之資安條款，形成縱深防禦。
AI 依官方試題文字產生的參考解答，非考選部公告答案，內容僅供備考參考。