APIの急増ぶりは、公開APIのリポジトリである「ProgrammableWeb」を見れば一目瞭然だ。同サイトが立ち上がった2005年時点では、掲載されたAPIは100種程度だった。だが今では1万種を超えるAPIが登録されている。

　こうしたAPIの増加は、ユーザーデータの宝庫を基盤とする新たな経済をけん引している。伝えられるところでは、クラウドサービス大手の米Salesforce.comは、30億ドルの年間売上高の50％以上をAPIから上げている。オンライン旅行大手の米Expediaも、APIからの売り上げは20億ドルの年間売上高の90％近くに達するという。

　企業はさまざまなAPIとそのリソースへのアクセスを測定し、APIを収益につなげている。例えば、米Twitterや米Facebookなどは、リポーティングとアナリティクスを基にターゲティング広告を配信するための広告APIを提供しているが、広告代理店など、APIを利用する側はAPI使用料を支払う必要がある。

　APIをめぐっては、IT大手の間で複数年にわたって続いている争いもある。米Oracleは「Java APIの知的所有権を侵害された」として、オンライン検索大手の米Googleを提訴。この訴訟はまだ係争中だ。Oracleはかつて米Sun Microsystemsを買収した際に、JavaとそのAPIを獲得している。

　2013年にカナダのAPIゲートウェイベンダーLayer 7 Technologiesを買収した米CA Technologiesの上級副社長で著名エンジニアのスコット・モリソン氏によると、「APIの種類や利用は今後も増加が続く見通しだ」という。APIが大きな収入源となることは明らかであり、さらにAPIによって開発者はサードパーティーのアプリやサービス向けに新しい多様なデータソースを活用できるからだ。

　一方でモリソン氏によれば、開発者はAPIの基本的なセキュリティ対策を忘れがちであり、多くのAPIはWebでよく見られるタイプの攻撃に対して脆弱だという。APIはデータ転送にHTTPを使用するなど、Web用プロトコルに依存しているからだ。

　「ハッカーはWebで有効な攻撃手法をAPIにも適用している。SQLインジェクションが良い例だ。サーバに送られてSQLテンプレートに埋め込まれるパラメータに、何らかの追加データをこっそりと挿入する攻撃手法だ。もともとの入力値のチェックが不十分であれば、攻撃者は基本的にはサーバに任意のSQLを実行させることが可能だ」と、モリソン氏は説明する。

　APIゲートウェイベンダーである米3scaleの最高執行責任者（COO）、マーク・チェシャー氏も、開発者が見過ごしがちなAPIのセキュリティ問題を幾つか指摘している。

　3scaleのとある顧客企業は当初、医療情報検索エンジンの提供を目指していた。だが部外者が、その顧客企業の公開APIを使って貴重な社内情報を外部のデータベースに持ち出し、保存していることに気付いたという。同社の公開APIには、アクセス制御や課金機能が何も備わっていなかったのだ。

　写真／動画共有アプリ「Snapchat」で最近発生したデータ流出事件においても、セキュリティ対策が施されていないAPIが間接的な役割を果たした。モリソン氏によれば、こうした事件からも、API開発者にセキュリティの責務を負わせるべきでないことは明らかだという。

　「開発者が集中すべきは魅力的なアプリの開発であって、セキュリティの確保ではない。APIゲートウェイの背景にあるのは、『APIのセキュリティ対策は全て、開発者の仕事をよく理解しているセキュリティ担当者に任せ、開発者には自分の仕事に集中してもらえるようにする』という考えだ」と、モリソン氏は語る。

APIゲートウェイの仕組み

　オンプレミスであれクラウドであれ、APIゲートウェイは基本的にはAPIの前面に置かれ、多様な要因に基づきトラフィックを振り分ける。

　モリソン氏によれば、「開発プロセスで省かれたセキュリティ対策を講じる役割を担う」という点において、APIゲートウェイは「Webアプリケーションファイアウォール（WAF）」といくらか似ている。ただし、「WAFの利用目的がセキュリティに限られるのに対し、APIゲートウェイは広範な管理機能など、企業にとって魅力的な各種の機能を備える」（同氏）という。

　APIゲートウェイは、前述したSQLインジェクション攻撃も含め、従来の企業ファイアウォールを迂回するようなさまざまな攻撃への防御に役立つという。「攻撃者は悪意のある添付ファイルなどのコンテンツをXMLメッセージに挿入でき、それがAPI経由でアプリケーションへの攻撃に使われる可能性がある。だが、ゲートウェイのスキャン機能を使えばそうした試みを軽減できる」と同氏は語る。

　米調査会社Forrester Researchの主任アナリスト、イブ・メイラー氏も、「攻撃者は悪意のあるHTTPリクエストの中にマルウェアを隠す」と指摘する（HTTPリクエストは、多くのAPIコールの基礎となる）。同氏によれば、APIゲートウェイはこうした攻撃の軽減に役立つ場合が少なくないという。

　「この問題には幾つかのレベルで対処できる。まずは、どのクライアントアプリを信用するかを慎重に検討し、クライアントアプリの質を認証することだ。次に、APIゲートウェイを使って、悪意のありそうなAPIコールを捕えることだ」と、メイラー氏は語る。

アクセス制御の重要性

　もっとも、モリソン氏とチェシャー氏によれば、「APIゲートウェイの最大のセキュリティ機能はアクセス制御だ」という。APIゲートウェイはある種の司令官として、「誰がAPIにアクセスできるか」を管理したり、「データリクエストの処理をめぐるルール」を構築したりする。

　チェシャー氏によれば、アクセス制御はほとんどの場合、他のポリシーの構築にも影響する。特定のソースからのAPIコールに速度制限を設けたり、APIを経由して全てあるいは一部のリソースにアクセスする場合の使用料を設定したりといったことだ。

　なお、APIゲートウェイのアクセス制御機能は通常、APIコールの呼び出し元を特定するための認証メカニズムからスタートする。

　チェシャー氏は、APIゲートウェイでの認証には細心の注意を払うよう警告する。クレジット業界データセキュリティ標準である「PCI DSS」や医療関連データ規格の「HIPAA」に関連する財務データや医療データのように機密性の高いデータの場合は常に「OAuth」プロトコルを使うよう、同氏は企業にアドバイスする。

　OAuthは、パスワードを個別のサービスへ渡さなくてもWebベースのリソースにアクセスできるよう、仲介役として機能するプロトコルだ。「鍵の秘密性を完全に保つのは難しいので、鍵ベースの認証はデータを失っても対応できるインスタンスでのみ使うべきだ」と、同氏は指摘する。

　前述した医療情報検索エンジンを持つ顧客企業は、APIゲートウェイを使い、APIへのアクセスを有料化することでビジネスモデルを変えた。今ではAPIが同社の主要な収入源になっているという。

　「API経由でアクセスできるデータの種類を考えれば、APIゲートウェイはなおさら重要だ。APIによって、“攻撃者にとって価値のあるデータ”がより多く危険にさらされることになる。リスクはより大きい」。チェシャー氏はこう語る。

　アクセス制御とそれに関連した機能は大半のAPIゲートウェイに標準で搭載されているが、ベンダーとの交渉では、製品をどこに導入するかに注意する必要がある。

　チェシャー氏によれば、例えばデータが外部のAPIに渡ることを懸念している金融サービス会社であれば、オンプレミスのゲートウェイかハイブリッドモデルを選ぶべきだという。クラウドベースのプロキシサーバでは通常、サードパーティーベンダーのインフラで全てのAPIトラフィックを仲介して処理する必要がある。そのため、データがより多くのリスクにさらされるだけでなく、データの処理コストも高くなりがちだからだ。

　Forresterのメイラー氏も、「規制の厳しい業界はクラウドベースの選択肢を選ばない傾向にある」と指摘し、魅力的な代替選択肢として、仮想アプライアンスを挙げる。仮想アプライアンスによって、企業はクラウドの融通性のメリットを少なくとも一部は享受できるからだという。

　さらにメイラー氏はこう語る。「APIを介した大量データのマネタイズに依存している企業の多さからして、今後、APIゲートウェイは多くの組織においてセキュリティインフラに不可欠な要素と見なされるべきだ。何しろ、APIのセキュリティを確保するための選択肢は他にほとんど存在していない」

　「こうした環境にセキュリティ対策は不可欠だ。だが、アクセス制御の目的はセキュリティだけにとどまらない。APIをマネタイズするには、APIへのアクセスを調整できる必要がある。そこで、API管理プラットフォームの登場となる」と、同氏は続ける。

　メイラー氏によれば、中には、SaaSベースの製品を使って、APIのセキュリティ確保と制御を行っている企業もあるという。APIをホストしているシステムが、ベンダーがホストするAPIセットをもう1つ呼び出し、アクセスを管理、監視する仕組みだ。ただし、オンプレミスの堅牢なAPIセキュリティを必要としている企業にとって、頼れる技術は基本的には1つだけだという。

　「そのような場合に頼れるのはもうAPIゲートウェイだ」と、メイラー氏は語る。