Seminar Authentifizierung, Autorisierung und sichere Sitzungen

Seminarbeschreibung

Eine erfolgreiche Anmeldung beantwortet noch nicht, auf welche Daten und Funktionen ein Konto zugreifen darf. Das Seminar trennt Identitätsprüfung, Sitzungsverwaltung und Autorisierung und führt die Bausteine in einer nachvollziehbaren Anwendungsarchitektur zusammen. Besonderes Gewicht erhalten die Fehlerfälle, die in gewöhnlichen Funktionstests häufig fehlen.

Ein vorbereiteter Identity Provider wird mit einer Beispielanwendung verbunden. Die Laborarbeit umfasst einen geeigneten Anmeldefluss, nachvollziehbare Tokenprüfungen und ein Rollen- sowie Mandantenmodell. Kontowiederherstellung und privilegierte Aktionen werden ebenso betrachtet wie die Grenzen eines Abmeldens bei noch gültigen Tokens. Die Veranstaltung behandelt Anwendungsintegration; der vollständige Betrieb einer Identitätsplattform gehört nicht zum Umfang.

Inhalte im Überblick

• Identitäten, Konten und Vertrauensmodelle
• OAuth und OpenID Connect integrieren
• Tokenvalidierung und Schlüsselwechsel
• Sitzungen und sensible Aktionen
• Berechtigungsmodelle und Mandantentrennung
• Integrations- und Regressionstests

Zielgruppe

Web- und Backend-Entwickler, Softwarearchitekten, Integrationsverantwortliche und technische Qualitätssicherung.

Voraussetzungen

Erfahrung mit HTTP, Cookies, Webentwicklung und automatisierten Tests. Grundkenntnisse sicherer Softwareentwicklung sowie Routine in einer Backend-Sprache.

Seminarinhalte

Identitäten, Konten und Vertrauensmodelle

• Authentifizierung, Autorisierung und Identitätsföderation voneinander abgrenzen.
• Benutzer-, Dienst- und Administrationskonten mit geeigneten Schutzanforderungen versehen.
• Fehlertexte, Anmeldebegrenzung und Kontowiederherstellung gegen Informationsabfluss und Missbrauch absichern.

OAuth und OpenID Connect integrieren

• Authorization Code Flow mit PKCE anhand eines vorbereiteten Identity Providers umsetzen.
• Redirect-URIs, state und nonce ihrem Zweck zuordnen und passend zum verwendeten Flow prüfen.
• Access Tokens und ID Tokens unterscheiden sowie vertrauliche und öffentliche Clients korrekt einordnen.

Tokenvalidierung und Schlüsselwechsel

• Signaturverfahren, Aussteller, Zielgruppe und Zeitangaben anhand fester Vertrauensregeln validieren.
• Schlüsselrotation, Zwischenspeicherung und Ausfälle des Identity Providers kontrolliert behandeln.
• Laufzeiten, Widerruf und Refresh Tokens mit dem Schutzbedarf der Anwendung abstimmen.

Sitzungen und sensible Aktionen

• Cookie-Attribute, Sitzungswechsel nach Anmeldung und serverseitige Ablaufregeln umsetzen.
• CSRF-Schutz bei cookiegebundener Authentifizierung und Browserbesonderheiten berücksichtigen.
• Mehrfaktorverfahren, Passkeys und erneute Bestätigung sensibler Aktionen anhand ihrer Integrationsanforderungen bewerten.

Berechtigungsmodelle und Mandantentrennung

• Rollen- und attributbasierte Regeln für Objekte und Aktionen formulieren.
• Standardmäßig verweigern und Prüfungen an den tatsächlichen serverseitigen Zugriffspunkten durchführen.
• Horizontale und vertikale Berechtigungswechsel sowie Zugriffe zwischen Mandanten testen.

Integrations- und Regressionstests

• Abgelaufene, falsch adressierte und ungültig signierte Tokens als Negativfälle prüfen.
• Anmeldung, Abmeldung und Änderung von Rollen mit einer reproduzierbaren Testmatrix absichern.
• Sicherheitsrelevante Ereignisse ohne Passwörter, Sitzungsschlüssel oder vollständige Tokens protokollieren.

Praxisübungen

1. Testkonten und Clients anlegen und den vorgesehenen Anmeldefluss dokumentieren.
2. Die Beispielanwendung mit dem Identity Provider verbinden und Tokenprüfungen kontrollieren.
3. Objekt- und Mandantenberechtigungen ergänzen und mit mehreren Testkonten überprüfen.
4. Sitzungswechsel, fehlerhafte Tokens und Rollenänderungen automatisiert testen.
5. Protokollierung und Fehlerbehandlung auf unbeabsichtigte Offenlegung von Geheimnissen prüfen.

Schulungsumgebung

Vorbereiteter Identity Provider, Beispielanwendung, IDE, Browser-Entwicklerwerkzeuge, Git und Testsuite. Benutzerkonten und Schlüsselmaterial werden ausschließlich für das Labor angelegt.

Seminarauswahl

Zur Übersicht und zu den empfohlenen Lernwegen