Seminar Flask Sicherheit und Härtung

Flask liefert sichere Grundmechanismen, übernimmt aber nicht das vollständige Sicherheitsmodell einer Anwendung. Eingaben, Templates, Sitzungen, Header, Proxy-Vertrauen, Abhängigkeiten und Betriebsrechte müssen als gemeinsame Angriffsfläche betrachtet werden.

Das Seminar arbeitet von einem Bedrohungsmodell zu konkreten Härtungsmaßnahmen und wiederholbaren Nachweisen. Der Schwerpunkt liegt auf realistischen Fehlkonfigurationen und Negativtests statt auf einer bloßen Checkliste.

Inhaltsübersicht

1. Bedrohungsmodell und Sicherheitsgrenzen
2. Eingaben, Ausgaben und Injection-Schutz
3. CSRF, Cookies und Sitzungsabsicherung
4. Sicherheitsheader und Ressourcenbegrenzung
5. Reverse Proxy, TLS und Proxy-Vertrauen
6. Secrets, Abhängigkeiten und sichere Bereitstellung
7. Sicherheitstests und Härtungsprüfung
8. Praxisprojekt und Wissenssicherung

Lernziele

• Bedrohungen und Vertrauensgrenzen der Anwendung systematisch erfassen.
• Injection-, XSS-, CSRF- und Session-Risiken reduzieren.
• Sicherheitsheader und Ressourcenlimits korrekt konfigurieren.
• Proxy-, Secret- und Abhängigkeitsrisiken im Betriebsweg behandeln.
• Härtungsannahmen durch automatisierte Negativtests nachweisen.

Zielgruppe

Flask-Entwickler, Security Engineers, Architekten und Betriebsteams, die Anwendungen entwickeln, prüfen oder härten.

Voraussetzungen

Gute Flask- und HTTP-Grundkenntnisse. Erfahrung mit Authentifizierung, Datenbanken und Produktionsbetrieb ist hilfreich.

Seminarinhalte

1. Bedrohungsmodell und Sicherheitsgrenzen

Schutzmaßnahmen werden aus Datenwert, Angreifern, Eintrittspunkten und Vertrauensgrenzen abgeleitet.

1. Schritt 1: Schützenswerte Daten, Funktionen und Betriebsgeheimnisse inventarisieren.
2. Schritt 2: Browser, API, Proxy, Datenbank, Queue und Fremdsysteme als Vertrauensgrenzen markieren.
3. Schritt 3: Missbrauchsfälle für Identität, Eingaben, Dateien und Ressourcenverbrauch priorisieren.
4. Schritt 4: Maßnahmen, verbleibendes Risiko und Prüfnachweis in einer Sicherheitsmatrix festhalten.

2. Eingaben, Ausgaben und Injection-Schutz

Alle externen Daten werden validiert und kontextgerecht kodiert, bevor sie Datenbank, Template oder Betriebssystem erreichen.

1. Schritt 1: Eingabegrenzen für Länge, Typ, Format und Anzahl zentral setzen.
2. Schritt 2: Parametrisierte Datenbankzugriffe und ORM statt zusammengesetzter SQL-Zeichenketten verwenden.
3. Schritt 3: Jinja-Autoescaping beibehalten und sichere Markierung nur für kontrollierte Inhalte einsetzen.
4. Schritt 4: XSS-, SQL-Injection-, Pfad- und Header-Manipulation mit Negativtests prüfen.

3. CSRF, Cookies und Sitzungsabsicherung

Browserbasierte Zustandsänderungen und Sitzungen werden gegen fremde Ursprünge und Diebstahl geschützt.

1. Schritt 1: CSRF-Schutz für alle cookieauthentifizierten verändernden Requests aktivieren.
2. Schritt 2: Secure, HttpOnly, SameSite und kurze Lebensdauer für Sitzungscookies konfigurieren.
3. Schritt 3: Session-Fixation durch Erneuerung und session.clear bei Identitätswechsel verhindern.
4. Schritt 4: Cross-Site- und Replay-Szenarien mit realistischen Requests testen.

4. Sicherheitsheader und Ressourcenbegrenzung

Browserkontrollen und Request-Limits werden als Teil der Produktionskonfiguration umgesetzt.

1. Schritt 1: HSTS, Content Security Policy, X-Content-Type-Options und Frame-Schutz festlegen.
2. Schritt 2: MAX_CONTENT_LENGTH sowie Formulargrößen und Teilezahl begrenzen.
3. Schritt 3: Host- und Proxy-Vertrauen gegen Header-Spoofing absichern.
4. Schritt 4: Große Requests, viele Formularfelder und unerwartete Hosts unter Last testen.

5. Reverse Proxy, TLS und Proxy-Vertrauen

Externe Verbindungen werden am HTTP-Server terminiert und vertrauenswürdige Weiterleitungsinformationen korrekt behandelt.

1. Schritt 1: Reverse-Proxy-Pfad, Host, Protokoll und Clientadresse als Datenfluss dokumentieren.
2. Schritt 2: Forwarded Header nur für die bekannte Anzahl vertrauenswürdiger Proxies auswerten.
3. Schritt 3: TLS, HSTS, Größenlimits und statische Dateien am vorgeschalteten Server konfigurieren.
4. Schritt 4: Direktzugriff, gefälschte Header und falsche Präfixe mit Integrationstests prüfen.

6. Secrets, Abhängigkeiten und sichere Bereitstellung

Sicherheitsniveau umfasst Quellcode, Pakete, Konfiguration und Betriebsweg gemeinsam.

1. Schritt 1: Secrets aus Repository und Image entfernen und Rotation vorbereiten.
2. Schritt 2: Abhängigkeiten sperren, regelmäßig prüfen und Sicherheitsupdates priorisiert einspielen.
3. Schritt 3: Debug-Modus und Entwicklungsserver in Produktion technisch ausschließen.
4. Schritt 4: Build-Artefakt, Konfiguration und Laufzeitrechte in der CI kontrollieren.

7. Sicherheitstests und Härtungsprüfung

Die wichtigsten Schutzannahmen werden als wiederholbare Tests und Betriebschecks festgehalten.

1. Schritt 1: Negativtests für Authentifizierung, Autorisierung, CSRF und Eingabegrenzen erstellen.
2. Schritt 2: Sicherheitsheader, Cookie-Attribute und Fehlerausgaben automatisiert prüfen.
3. Schritt 3: Abhängigkeits- und statische Analyse in die CI integrieren.
4. Schritt 4: Härtungscheckliste vor Veröffentlichung und nach Infrastrukturänderungen ausführen.

Praxisprojekt

Eine bewusst unsicher konfigurierte Anwendung wird analysiert und schrittweise gehärtet. Für jede Maßnahme entsteht mindestens ein Negativtest oder ein wiederholbarer Betriebscheck.

Methodik

Kurze fachliche Einordnungen wechseln mit Demonstrationen, geführten Umsetzungen, Fehleranalysen und eigenständigen Übungen. Jede größere Änderung wird durch einen Test, eine Diagnose oder eine betriebliche Prüfroutine abgesichert. Die Arbeitsstände werden schrittweise zu einem durchgängigen Beispielprojekt zusammengeführt.