Seminar Zero Trust – identitätsbasierter Anwendungszugriff mit OAuth2 Proxy

Seminarbeschreibung

Interne Webdienste besitzen häufig keine eigene OIDC- oder SAML-Anbindung. Ein vorgeschalteter Authentifizierungsproxy kann den Zugang mit einer zentralen Identitätsplattform verbinden. Das Seminar baut einen solchen Pfad mit OAuth2 Proxy auf und prüft die gesamte Strecke vom Browser bis zur Anwendung. Zugriff über einen internen Netzstandort wird dabei nicht automatisch als ausreichend vertrauenswürdig behandelt.

Der wirksame Schutz hängt besonders davon ab, ob die Anwendung auch am Proxy vorbei erreichbar ist und welchen Identitätsinformationen sie vertraut. Deshalb werden Netzpfade, Weiterleitungsheader, Cookies, Anmelde-Rücksprünge und die Übergabe von Benutzermerkmalen gemeinsam geprüft. MFA findet am Identity Provider statt. Gerätezustand, fachliche Objektberechtigungen und weitergehende Kontextentscheidungen werden als ergänzende Anforderungen behandelt, die nicht allein durch die Installation eines Proxys erfüllt sind.

Seminarinhalte

Inhaltsübersicht:

1. Zielarchitektur und Vertrauensgrenzen
2. OIDC-Client und Anmeldung
3. Reverse Proxy und Backend absichern
4. Sitzungen, Gruppen und Abmeldung
5. Umgehung und Ausfall kontrolliert testen
6. Betrieb und schrittweise Erweiterung

1. Zielarchitektur und Vertrauensgrenzen

• Browser, Identity Provider, Authentifizierungsproxy, vorgeschalteten Reverse Proxy und Backend nach ihrer Rolle abgrenzen.
• Alle möglichen Zugriffswege zur Testanwendung erfassen und den vorgesehenen Kontrollpunkt festlegen.
• Gruppenfreigabe, MFA und fachliche Autorisierung mit jeweils eigener Zuständigkeit planen.

2. OIDC-Client und Anmeldung

• Einen begrenzten OIDC-Client mit passenden Callback-Adressen und erforderlichen Identitätsmerkmalen einrichten.
• OAuth2 Proxy mit dem Test-Provider verbinden und den vorgesehenen Anmeldeablauf nachvollziehen.
• MFA am Identity Provider einbinden und Zugriffserwartungen für berechtigte sowie unberechtigte Konten festlegen.

3. Reverse Proxy und Backend absichern

• Den gewählten Integrationsmodus mit TLS und festgelegten Upstream-Verbindungen konfigurieren.
• Direkte Backend-Erreichbarkeit begrenzen und Identitätsheader nur vom vorgesehenen Kontrollpunkt übernehmen.
• Vom Client eingeschleuste Identitäts- oder Weiterleitungsheader kontrolliert entfernen beziehungsweise überschreiben.

4. Sitzungen, Gruppen und Abmeldung

• Session-Cookies, sichere Cookie-Eigenschaften und passende Laufzeiten für die Referenzanwendung prüfen.
• Unterstützte Gruppen- oder Claim-Prüfungen mit eindeutig bereitgestellten Merkmalen konfigurieren.
• Abmeldung, Gruppenänderung und Kontosperre nach ihrer tatsächlichen Wirkung auf bestehende Sitzungen testen.

5. Umgehung und Ausfall kontrolliert testen

• Direkten Backend-Zugriff, fehlende Sitzung und manipulierte Header mit vorbereiteten Testanfragen prüfen.
• Den Identity Provider oder Proxy vorübergehend unterbrechen und unzulässige automatische Freigaben ausschließen.
• Ungeeignete Rücksprungadressen und fehlerhafte TLS-Konfiguration als konkrete Integrationsrisiken untersuchen.

6. Betrieb und schrittweise Erweiterung

• Anmeldeereignisse und Fehlerprotokolle mit begrenztem Umfang zur Störungsanalyse verwenden.
• Updates, technische Secrets, Notfallzugang und regelmäßige Zugriffstests in den Betrieb aufnehmen.
• Zusätzlichen Bedarf an Gerätesignalen, feingranularer Autorisierung und nicht webbasierten Zugängen strukturiert erfassen.

Praxisübungen

1. Die vorgesehenen und unerwünschten Netzpfade zur Testanwendung erfassen.
2. Den OIDC-Client erstellen und OAuth2 Proxy mit der zentralen Anmeldung verbinden.
3. Die Anwendung ausschließlich über den vorgesehenen Proxy-Pfad erreichbar machen.
4. Mit berechtigtem und unberechtigtem Konto anmelden und die übergebenen Identitätsmerkmale prüfen.
5. Identitätsheader manipulieren sowie direkten Backend-Zugriff versuchen und die Zurückweisung nachweisen.
6. Kontosperre, Sitzungsablauf und kurzzeitigen IdP-Ausfall testen und das beobachtete Verhalten dokumentieren.

Einordnung und Vertiefung

Die Übungen realisieren einen Zero-Trust-Baustein für eine Webanwendung. Eine umfassende Zero-Trust-Architektur erfordert zusätzlich passende Endgeräte-, Netzwerk-, Autorisierungs- und Betriebsmaßnahmen.

Seminarangebot und Lernpfade