Seminar OAuth 2.0, OpenID Connect und SAML – sichere Anwendungsintegration

Seminarbeschreibung

Fehler bei Redirect-Adressen, Tokenprüfung oder Sitzungsverwaltung können eine ansonsten funktionierende SSO-Integration unsicher machen. Das Seminar führt deshalb von den beteiligten Rollen und Nachrichten zu konkreten Prüfentscheidungen in Anwendung und API. OAuth 2.0 wird als Rahmen für delegierten Zugriff behandelt; OpenID Connect ergänzt die standardisierte Identitätsinformation. SAML wird anhand einer vorhandenen Geschäftsanwendung eingebunden und mit dem OIDC-Ablauf verglichen.

Im Mittelpunkt steht die nachvollziehbare Arbeit am Protokoll: Welche Information kommt von welcher Stelle, wem darf sie gelten und wodurch wird sie verifiziert? Browserwerkzeuge, HTTP-Client und Protokollierung machen die Integrationen prüfbar. Die Übungen verwenden etablierte Bibliotheken und vorbereitete Anwendungen. Neben dem erfolgreichen Login behandeln die Übungen ausdrücklich falsche Zielgruppen, abgelaufene Nachweise, fehlerhafte Rücksprungadressen und Rechteänderungen während einer bestehenden Sitzung.

Seminarinhalte

Inhaltsübersicht:

1. Rollen und Vertrauensgrenzen der Protokolle
2. OpenID Connect mit Authorization Code und PKCE
3. Tokens und API-Zugriffe prüfen
4. SAML-Anwendungen anbinden
5. Sitzungen, Logout und Browser-Sicherheit
6. Integration systematisch testen

1. Rollen und Vertrauensgrenzen der Protokolle

• Resource Owner, Client, Authorization Server, Resource Server und Relying Party anhand eines gemeinsamen Beispiels unterscheiden.
• ID Token, Access Token, Refresh Token und SAML Assertion nach Zweck, Empfänger und Gültigkeitsbereich vergleichen.
• Öffentliche und vertrauliche Clients sowie Browser-, Server- und Maschinenzugriffe voneinander abgrenzen.

2. OpenID Connect mit Authorization Code und PKCE

• Clientregistrierung, eng begrenzte Redirect-Adressen, Scopes und Discovery für eine Referenzanwendung konfigurieren.
• Code-Austausch mit PKCE, state und nonce im passenden Ablauf nachvollziehen und mit der verwendeten Bibliothek absichern.
• Unsichere oder überholte Anmeldeverfahren erkennen und eine belastbare Zielintegration festlegen.

3. Tokens und API-Zugriffe prüfen

• Signatur, erlaubten Algorithmus, Aussteller, Zielgruppe und Zeitbedingungen vor einer Zugriffsentscheidung validieren.
• JWKS-Aktualisierung, Schlüsselwechsel und den Unterschied zwischen lokal validierten und introspektierten Tokens bearbeiten.
• Scopes und Rollen in fachliche Rechte übersetzen und den Client-Credentials-Ablauf für eine technische Integration einordnen.

4. SAML-Anwendungen anbinden

• Metadaten, Entity IDs, Assertion Consumer Service und Signaturzertifikate zwischen Identity Provider und Service Provider abstimmen.
• NameID, Attribute, Audience, Recipient, Zeitbedingungen und Antwortzuordnung am Testfall kontrollieren.
• Signatur- und Zeitfehler gezielt auslösen und die Validierung einer etablierten SAML-Bibliothek nutzen.

5. Sitzungen, Logout und Browser-Sicherheit

• IdP-Sitzung, Anwendungssitzung und Tokenlaufzeiten als getrennte Zustände behandeln.
• Refresh-Verhalten, Session-Cookies, CSRF-Schutz und Auswirkungen eines Kontowiderrufs prüfen.
• Unterstützte Logout-Verfahren testen und verbleibende Sitzungen anhand konkreter Anwendungseigenschaften dokumentieren.

6. Integration systematisch testen

• Positive und negative Testfälle für Anmeldung, Rechteprüfung, Abmeldung und Schlüsselrotation zusammenstellen.
• Browserablauf, Anwendungsprotokolle und IdP-Ereignisse über eine gemeinsame Fehlerhypothese auswerten.
• Eine technische Abnahme formulieren, die korrekte Funktion und nachvollziehbare Zurückweisung unzulässiger Zugriffe umfasst.

Praxisübungen

1. Einen OIDC-Client anlegen und die vorbereitete Webanwendung mit festgelegter Redirect-Adresse verbinden.
2. Einen Anmeldevorgang aufzeichnen und Code, Tokenaustausch sowie lokalen Sitzungsaufbau zuordnen.
3. Die API mit einem gültigen Access Token aufrufen und anschließend falsche Zielgruppe sowie abgelaufene Gültigkeit testen.
4. Den SAML-Service-Provider über Metadaten anbinden und ein erforderliches Benutzerattribut übertragen.
5. Einen Zertifikats- oder Zeitfehler erkennen, seine Ursache eingrenzen und die Konfiguration berichtigen.
6. Anmeldung, Kontosperre, Rechteentzug und Logout in einer Integrationsmatrix mit erwarteten Resultaten festhalten.

Einordnung und Vertiefung

Die Implementierung erfolgt mit bestehenden Protokollbibliotheken. Kryptografische Eigenimplementierungen, vollständige Mobile-App-Entwicklung und tiefgehende Framework-Schulungen sind nicht Bestandteil des Seminars.

Seminarangebot und Lernpfade