Seminar Express.js – Authentifizierung, Autorisierung und Sicherheit

Sicherheit entsteht nicht durch ein einzelnes Middleware-Paket. Sie ergibt sich aus kontrollierten Eingaben, klaren Vertrauensgrenzen, korrekt verwalteten Identitäten, restriktiven Berechtigungen und einem Betrieb, der Angriffe erkennen und begrenzen kann. Dieses Seminar entwickelt dafür ein zusammenhängendes Modell für Express-Anwendungen und APIs.

Die Teilnehmer vergleichen sitzungsbasierte und tokenbasierte Verfahren, modellieren Rollen und fachliche Rechte und härten typische Angriffsflächen. Besonderes Gewicht liegt auf realistischen Fehlannahmen: Tokens ersetzen keine Autorisierung, CORS ist keine Zugriffskontrolle und Eingabevalidierung muss an jeder Vertrauensgrenze stattfinden.

Seminarziele

Ziel ist eine systematische Sicherheitsarbeit vom Entwurf bis zum Betrieb. Die Teilnehmer können nach dem Seminar:

• Bedrohungen, schützenswerte Werte und Vertrauensgrenzen einer Express-Anwendung erfassen.
• Sessions, Cookies und Tokens anhand des konkreten Einsatzfalls auswählen und sicher konfigurieren.
• Rollen, Berechtigungen und objektbezogene Zugriffsregeln konsistent durchsetzen.
• Eingaben, Weiterleitungen, Uploads und Fehlermeldungen gegen typische Angriffe absichern.
• Sicherheitsprüfungen automatisieren und relevante Ereignisse revisionsfähig protokollieren.

Zielgruppe

Die Schulung richtet sich an Entwickler und Architekten, die Webanwendungen oder APIs mit Express absichern. Sie ist ebenso für Teams geeignet, die eine bestehende Authentifizierung überprüfen, einen Identitätsanbieter anbinden oder verbindliche Sicherheitsstandards für mehrere Projekte schaffen möchten.

Voraussetzungen

Vorausgesetzt werden gute JavaScript- und Express-Grundkenntnisse sowie ein solides Verständnis von HTTP, Cookies, Headern und asynchroner Programmierung. Kryptografische Detailkenntnisse sind nicht notwendig; die relevanten Verfahren werden aus Anwendungssicht eingeordnet.

Inhalte

Die Sicherheitsmaßnahmen werden anhand konkreter Angriffs- und Fehlerszenarien erarbeitet und anschließend in einer Beispielanwendung umgesetzt.

Bedrohungsmodell und Sicherheitsarchitektur

• Schützenswerte Daten, Akteure, Einstiegspunkte und Vertrauensgrenzen bestimmen.
• Authentifizierung, Autorisierung, Mandantentrennung und Auditierung voneinander abgrenzen.
• Minimale Rechte, sichere Standardwerte und mehrschichtige Schutzmaßnahmen anwenden.
• Sicherheitsanforderungen als prüfbare Akzeptanzkriterien formulieren.

Sessions, Cookies und Tokens

• Serverseitige Sessions und tokenbasierte Zugriffe nach Risiko und Skalierungsbedarf vergleichen.
• Cookie-Attribute, Laufzeiten, Rotation und Abmeldung sicher gestalten.
• Token-Inhalte, Signaturprüfung, Gültigkeit und Widerruf fachgerecht behandeln.
• OAuth 2.0 und OpenID Connect bei der Anbindung externer Identitätsdienste einordnen.

Autorisierung und Mandantentrennung

• Rollenbasierte und attributbasierte Berechtigungen kombinieren.
• Objektbezogene Zugriffe gegen unzulässige direkte Referenzen absichern.
• Berechtigungsprüfungen zentralisieren, ohne fachliche Regeln zu verstecken.
• Administrator-, Service- und Benutzerrechte sauber voneinander trennen.

Schutz der HTTP-Oberfläche

• TLS-Terminierung, sichere Header und korrektes Verhalten hinter Reverse Proxys konfigurieren.
• CORS-Regeln restriktiv festlegen und CSRF-Risiken bei Cookie-Sitzungen behandeln.
• Rate Limits, Anmeldebegrenzung und Schutz gegen automatisierte Angriffe umsetzen.
• Offene Weiterleitungen, Host-Header-Missbrauch und Informationspreisgabe verhindern.

Validierung, Daten und Dateien

• Parameter, Nutzlasten und Dateiuploads mit Typ-, Größen- und Formatgrenzen prüfen.
• Ausgabe kontextgerecht behandeln und unerwartete Felder verwerfen.
• Passwörter und sensible Werte ausschließlich mit geeigneten Verfahren speichern.
• Fehlerantworten informativ, aber ohne interne Details oder Geheimnisse gestalten.

Geheimnisse, Abhängigkeiten und Betrieb

• Schlüssel, Zugangsdaten und Konfiguration außerhalb des Quellcodes verwalten.
• Abhängigkeiten, Sicherheitsmeldungen und Aktualisierungen in einen geregelten Prozess überführen.
• Sicherheitsrelevante Logs mit Korrelationsdaten und Datenschutzvorgaben verbinden.
• Reaktion auf kompromittierte Zugangsdaten und verdächtige Aktivitäten vorbereiten.

Sicherheitstests

• Authentifizierungs-, Rollen- und Mandantentests automatisieren.
• Negativtests für manipulierte Tokens, abgelaufene Sitzungen und fehlerhafte Eingaben erstellen.
• Grenzwerte, Rate Limits und sichere Fehlerantworten reproduzierbar prüfen.
• Code-Review-Checklisten und Freigabekriterien für sicherheitskritische Änderungen entwickeln.

Praxis und Methodik

Die Übungen beginnen mit einer absichtlich unzureichend geschützten Anwendung. Schrittweise werden Eingabevalidierung, sichere Sitzungskonfiguration, Tokenprüfung, Rollen und objektbezogene Rechte, Rate Limits und Sicherheitsprotokollierung ergänzt.

Angriffssimulationen und automatisierte Negativtests zeigen unmittelbar, welche Schutzschicht greift und welche Annahmen falsch waren. So entsteht ein Sicherheitskonzept, das im Projekt überprüfbar bleibt und nicht nur aus Konfigurationsfragmenten besteht.