Seminar Secure Coding für Webanwendungen

Seminarbeschreibung

Sichere Webentwicklung erfordert mehr als das Abfangen einzelner verdächtiger Eingaben. Das Seminar betrachtet Daten vom Eingang über Geschäftslogik und Persistenz bis zur Ausgabe im Browser. Dabei werden Schutzfunktionen des verwendeten Frameworks bewusst eingesetzt und ihre Grenzen an konkreten Fehlerfällen untersucht.

Die Durchführung erfolgt in einem vorab festgelegten Stack, beispielsweise Java mit Spring Boot, C# mit ASP.NET Core, JavaScript beziehungsweise TypeScript mit Node.js, Python mit Django oder FastAPI oder PHP mit Symfony beziehungsweise Laravel. Innerhalb einer Veranstaltung werden die Sprachen nicht parallel als vollständige Lernstrecken behandelt. Eine durchgängige Anwendung ermöglicht stattdessen gezielte Korrekturen, Reviews und belastbare Regressionstests.

Inhalte im Überblick

• Datenflüsse und sichere Framework-Nutzung
• Injection und kontrollierte Eingabeverarbeitung
• Browserausgaben und Sitzungsbezug
• Berechtigungen und Geschäftslogik
• Dateien, ausgehende Anfragen und Konfiguration
• Code-Review und sichere Änderungsabnahme

Zielgruppe

Web-, Backend- und Full-Stack-Entwickler, Security Champions und technische Qualitätssicherung mit Programmieraufgaben.

Voraussetzungen

Sichere Programmierkenntnisse im vereinbarten Stack, praktische Framework-Erfahrung sowie Routine mit HTTP, Datenbanken, Git und automatisierten Tests. Grundlagen der Anwendungssicherheit werden vorausgesetzt.

Seminarinhalte

Datenflüsse und sichere Framework-Nutzung

• Nicht vertrauenswürdige Eingaben und sicherheitsrelevante Senken im Anwendungscode identifizieren.
• Verfügbare Schutzfunktionen, sichere Voreinstellungen und riskante Abweichungen des Frameworks prüfen.
• Fehlerbehandlung so gestalten, dass interne Details und Zugangsdaten nicht offengelegt werden.

Injection und kontrollierte Eingabeverarbeitung

• Datenbankzugriffe parametrisieren und dynamische Abfragen ohne unsichere String-Verknüpfung erstellen.
• Betriebssystemaufrufe vermeiden oder über geeignete Schnittstellen mit kontrollierten Argumenten umsetzen.
• Datentypen, Längen und Wertebereiche prüfen; Parser und Deserialisierung auf notwendige Funktionen begrenzen.

Browserausgaben und Sitzungsbezug

• Kontextgerechte Ausgabekodierung verwenden und unsichere HTML-Einfügung erkennen.
• Cross-Site Scripting, CSRF und unsichere Browser-Speicherung anhand ihrer unterschiedlichen Ursachen bearbeiten.
• Sicherheitsheader und Content Security Policy als ergänzende Maßnahmen passend zur Anwendung einsetzen.

Berechtigungen und Geschäftslogik

• Objekt- und Aktionsrechte serverseitig prüfen und Mandantenzuordnungen konsistent anwenden.
• Zustandsübergänge, parallele Änderungen und Wiederholungen fachlicher Aktionen kontrollieren.
• Unzulässige Eigenschaftsänderungen durch explizite Datenmodelle und erlaubte Felder verhindern.

Dateien, ausgehende Anfragen und Konfiguration

• Datei-Uploads mit Größenbegrenzung, Namensbehandlung und vom Ausführungspfad getrennter Ablage absichern.
• Pfadzugriffe und ausgehende Verbindungen anhand erlaubter Ziele und notwendiger Funktionen beschränken.
• Debug-Funktionen, Protokollierung, Secrets und Abhängigkeiten für einen sicheren Anwendungsbetrieb prüfen.

Code-Review und sichere Änderungsabnahme

• Sicherheitsfehler zunächst mit einem reproduzierbaren Test belegen.
• Korrekturen anhand der Ursache prüfen und Umgehungs- sowie Grenzfälle ergänzen.
• Änderungen im Review begründen und mit positiven sowie negativen Regressionstests abschließen.

Praxisübungen

1. Die vorbereitete Anwendung starten und Datenflüsse einer ausgewählten Funktion verfolgen.
2. Fehlerhafte Eingabe- oder Ausgabeverarbeitung mit einem Labortest reproduzieren.
3. Geeignete Framework-Funktionen einsetzen und den zugrunde liegenden Programmierfehler beheben.
4. Eine Datei- oder Berechtigungsfunktion ergänzend absichern und Grenzfälle testen.
5. Die Änderung im Review prüfen und die Testsuite gegen erneutes Auftreten des Fehlers erweitern.

Schulungsumgebung

Ein abgestimmter Technologiestack mit vorbereiteter Laboranwendung, IDE, Git, Datenbank, Browser-Entwicklerwerkzeugen und Testsuite. Die genaue Sprach- und Framework-Variante wird vor der Durchführung vereinbart.

Seminarauswahl

Zur Übersicht und zu den empfohlenen Lernwegen