API（アプリケーションプログラミングインタフェース）とは？

API（アプリケーションプログラミングインタフェース）の意味

あるソフトウェアの機能を、内部の実装の詳細を知らなくても外部から呼び出して利用できるようにした接続の仕様。Web APIはHTTPを介して外部サービスの機能を呼び出す形式で広く使われる。

API（アプリケーションプログラミングインタフェース）の具体例

地図表示機能を自作せずに、地図サービスが公開するAPIを呼び出すだけで自社アプリに地図機能を組み込める。REST APIはHTTPメソッド（GET・POST等）とURLの組み合わせで操作対象を指定する設計思想。

API（アプリケーションプログラミングインタフェース）は試験でどう引っ掛けられる？

APIは呼び出し方の「仕様」であって実装そのものではない。SDKは開発に必要な道具一式でAPIを含む上位概念。RESTはHTTPメソッドとURIで資源を操作する設計様式の一つにすぎず、API＝RESTではない点も注意。

API（アプリケーションプログラミングインタフェース）と関連する用語

• プログラム言語のパラダイム（手続き型・オブジェクト指向・関数型）

API（アプリケーションプログラミングインタフェース）が出た過去問

• ルートキットの特徴はどれか。

  正解：OSなどに不正に組み込んだツールを隠蔽する。

  要点：ルートキットは侵入の痕跡と不正ツールをOSごと隠す

  ルートキットは、攻撃者が侵入後に設置するバックドアや不正プロセス、ファイル、通信の痕跡をOSの機能を改変して見えなくする一連のツール群である。プロセス一覧やファイル一覧を返すAPIやカーネルの処理に介入するため、感染したOS上から通常の手段で発見するのは難しい。検出には外部媒体からの起動やメモリフォレンジックなど、対象OSに依存しない手法が必要になる。

  出典：平成30年度 春期 情報処理安全確保支援士試験 am2 問15（IPA）

• マッシュアップを利用してWebコンテンツを表示する例として、最も適切なものはどれか。

  正解：店舗案内のWebページ上に、他のサイトが提供する地図検索機能を利用して出力された情報を表示する。

  要点：マッシュアップは複数サービスを組み合わせ新機能を作る

  マッシュアップは、複数の提供元が公開しているサービスやAPIを組み合わせ、単独では作れない新しい機能や画面を構成する手法である。自社の店舗案内ページに他社の地図サービスの出力を埋め込む例が典型で、地図データを自前で用意せずに機能を提供できる。

  出典：令和1年度 秋期 情報処理安全確保支援士試験 am2 問23（IPA）

• マッシュアップに該当するものはどれか。

  正解：公開されている複数のサービスを利用して，新たなサービスを提供する。

  要点：マッシュアップは複数の公開サービスを組み合わせる手法

  マッシュアップは、公開されている複数のサービスやAPIを組み合わせて、単独では実現できない新しいサービスを作り出す手法である。自分でデータや機能を保有せずに既存サービスを外部から呼び出して統合する点が特徴である。

  出典：令和1年度 春期 情報処理安全確保支援士試験 am2 問23（IPA）

• Webサーバのログを分析したところ、Webサーバへの攻撃と思われるHTTPリクエストヘッダが記録されていた。次のHTTPリクエストヘッダから推測できる、攻撃者が…

  正解：OSコマンドインジェクション

  要点：区切り文字でシェルコマンドを続ける攻撃はOSコマンドインジェクション

  クエリ文字列にセミコロンとシェルコマンドが埋め込まれている点が手掛かりである。UNIX系シェルではセミコロンが命令の区切りとして解釈されるため、CGIが受け取った値をそのままシェルに渡していると、本来の処理に続けて任意のコマンドが実行されてしまう。パスワードファイルの表示を狙ったこの手口はOSコマンドインジェクションである。対策は外部入力をコマンド文字列に連結せず、シェルを経由しないAPIを使うことである。

  出典：令和2年度 10月 情報処理安全確保支援士試験 am2 問1（IPA）

• Webサーバのログを分析したところ、Webサーバへの攻撃と思われるHTTPリクエストヘッダが記録されていた。次のHTTPリクエストヘッダから推測できる、攻撃者が…

  正解：OSコマンドインジェクション

  要点：区切り記号に続くシェルコマンドの注入はOSコマンドインジェクション

  クエリ文字列にセミコロンでコマンドを区切り、パスワードファイルを表示するシェルコマンドを続けている点が手掛かりである。これはWebアプリがパラメータをシェル経由で外部コマンドに渡す実装になっている場合に、任意のOSコマンドを実行させる攻撃であり、OSコマンドインジェクションに該当する。対策は外部コマンド呼出しの回避、シェルを介さないAPIの利用、入力値の厳格な検証である。

  出典：令和4年度 春期 情報処理安全確保支援士試験 am2 問1（IPA）