Vizual Token Bucket Algoritmi
Stripe / Cloudflare
Chelakka doimiy tezlikda tokenlar tushadi. Har bir so'rov 1 ta tokenni oladi.
Tokenlar: 10 / 10
To'lish tezligi: 2 tok/s
Server Telemetriyasi va Jonli Loglar
● NORMAL (CPU: 8%)
Rate limiting tufayli 429 xatosi bilan to'silgan botnet so'rovlarini kuzating.
Server CPU Yuklamasi:
8%
[SYSTEM] Rate Limiter faollashtirildi. Algoritm: Token Bucket.
HMAC-SHA256 Bilan So'rovni Imzolash
Bank-Grade Security
Tranzaksiya ma'lumotlarini maxfiy kalit bilan kriptografik imzolash va soxtalashtirishdan himoyalash.
Serverda Imzo va Yaxlitlikni Tekshirish
SubtleCrypto Web API
Server so'rovni qabul qilib, o'zidagi kalit bilan yangi HMAC hisoblaydi va solishtiradi.
X-Signature Sarlavhasi (HMAC-SHA256):
(Imzo yaratilmagan)
X-Timestamp Sarlavhasi (Unix vaqti):
(Vaqt belgisi mavjud emas)
OWASP API Security Top 10 Inspektori
Critical API Flaws
Zamonaviy veb va mobil ilovalar duch keladigan asosiy API zaifliklari.
| Zaiflik (OWASP) | Hujum Mexanizmi | Xavf Oqibati | Muhandislik Himoyasi |
|---|---|---|---|
| API1: BOLA / IDOR | Foydalanuvchi /api/orders/101 o'rniga 102 deb boshqa birovning ID-sini so'raydi. |
Begona mijozlarning barcha shaxsiy ma'lumotlari sizib chiqadi. | Har bir so'rovda obyekt egasi sessiya tokeni bilan qat'iy solishtiriladi. |
| API4: Unrestricted Resource | Cheklovsiz so'rovlar yuborish, millionlab sahifalarni paginatsiyasiz tortish. | Server protsessori 100% ga to'lib, xotira tugaydi va server yiqiladi (DoS). | Token Bucket Rate Limiting va qat'iy limit=50 paginatsiyasi. |
| API3: Mass Assignment | JSON tanasida ruxsat berilmagan parametr: {"role": "admin"} yuborish. |
Oddiy foydalanuvchi bir soniyada tizim super-adminiga aylanadi. | DTO (Data Transfer Object) oq ro'yxati (Whitelist validatsiyasi). |
API Defender Amaliy Kvestlari (10 Ball)
10 Ballik Mezon
DDoS va soxtalashtirish hujumlaridan API ni himoya qilish bo'yicha 4 ta kvestni yakunlang.
1-Kvest: Token Bucket Orqali Qonuniy So'rov Yuborish
"Oddiy Foydalanuvchi" tugmasini bosing va 1 ta token sarflab 200 OK javobini oling.
2 Ball
2-Kvest: DDoS Hujumini 429 Xatosi Bilan Qaytarish
DDoS hujumini boshlab, chelakdagi tokenlarni tugatib, 429 Too Many Requests blokirovkasini oling.
2 Ball
3-Kvest: Valid HMAC-SHA256 Imzo Yaratish va Tasdiqlash
HMAC tabida "Imzoni yaratish" ni bosing va serverda "Tasdiqlash" tugmasi bilan 200 OK oling.
3 Ball
4-Kvest: Ma'lumot Soxtalashtirish (Tamper) Hujumini Fosh Qilish
"Tamper" tugmasini bosing va server buzg'unchilikni aniqlab 401 Unauthorized qaytarganini ko'ring.
3 Ball