Java Web Security Workshop (Fr., 27.10.)

Der Java-Web-Security-Workshop setzt der unsicheren Entwicklung von Java-Webanwendungen ein Ende und stellt dazu typische und aktuelle Sicherheitsprobleme in Java-Webanwendungen vor.

Die als Ausgangspunkt eingesetzten OWASP Top 10 schaffen ein erstes Verständnis von möglichen Schwachstellen in individuell entwickelten Webanwendungen. Mit den OWASP Top 10 Proactive Controls wird es anschließend für jeden Java-Entwickler deutlich einfacher, sichere Webanwendungen zu entwickeln.

Die dabei im Workshop Kenntnisse zur sicheren Entwicklung lassen sich in zahlreichen Übungen und Demos gleich praktisch anwenden und das Erlernte so direkt ausprobieren.

Agenda

• 8.30: Registrierung und Begrüßungskaffee


• 09.30: Beginn




• Java Security


• Security Tools


• OWASP Top 10 Proactive Controls




• 11.00 - 11.15: Pause




• OWASP Top 10 Proactive Controls




• 12.30 - 13.30: Mittagspause




• OWASP Top 10 Proactive Controls




• 15.00 - 15.15: Pause




• Security Header


• Application Intrusion Detection




• ca. 17.00 Uhr: Ende

Technische Anforderungen

Für die Teilnahme an den Übungen sind ein paar technische Grundvoraussetzungen notwendig:

• Eigenes Notebook (Linux, Mac, Windows) mit lokalen Admin-(Root-)Rechten. Ohne Admin-Rechte kann es bei manchen Übungen bzw. Installation der Tools Probleme geben, ansonsten kann man aber auch mit normalen Rechten die Beispiele nachvollziehen.


• Java 8 (JDK, 32- oder 64 Bit)


• Maven 3.x


• Beliebige Entwicklungsumgebung (Eclipse, IntelliJ IDEA, NetBeans) mit Git und Maven Integration (Git ist optional für den Clone des Beispielrepos erforderlich, die Demo-Anwendungen können alternativ auch aus einem zip-Archiv importiert werden)


• Mozilla Firefox (in anderen Browsern kann es sein, dass manche der Beispielanwendungen nicht korrekt funktionieren, die Verwendung mancher Tools ist u.U. etwas komplizierter


• Stark in den Rechten eingeschränkte Firmen-Notebooks sind nicht zu empfehlen.

Zur Vorbereitung können die folgenden Tools bereits heruntergeladen und installiert werden:

• Firefox FoxyProxy Standard Add-on https://addons.mozilla.org/de/firefox/addon/foxyproxy-standard/


• OWASP ZAP Standard https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project


• OWASP Dependency Check https://www.owasp.org/index.php/OWASP_Dependency_Check


• Außerdem sollte das Beispielrepo unter https://github.com/dschadow/JavaSecurity geklont werden. Anschließend die Maven-Projekte in der Lieblings-IDE importieren. Auf der root-Ebene des Repositories sollte anschließend ein mvn package ausgeführt werden damit alle notwendigen Dependencies übertragen werden. Bitte kurz vor dem Workshop nochmals ein git pull samt mvn package durchführen damit die aktuellsten Beispiele zur Verfügung stehen.

Falls Sie ein Gerät Ihrer Firma verwenden, überprüfen Sie vorher bitte, ob eines der folgenden, gelegentlich vorkommenden Probleme bei Ihnen auftreten könnte.
- Workshop-Teilnehmer hat keine Administrator-Rechte.
- Corporate Laptops mit übermäßig penibler Sicherheitssoftware
- Gesetzte Corporate-Proxies, über die man in der Firma kommunizieren muss, die aber in einer anderen Umgebung entsprechend nicht erreicht werden.

Vorkenntnisse

Kenntnisse in der Entwicklung von Java-Webanwendungen.

Lernziele

Der Workshop schafft bei den Teilnehmern zunächst ein grundlegendes Bewusstsein für das Thema sichere Softwareentwicklung mit Java. Mit den OWASP Top 10 wird dabei ein Grundverständnis an aktuellen und verbreiteten Sicherheitsproblemen geschaffen und so das Verständnis für die Notwendigkeit sicherer Entwicklung geweckt. Die OWASP Top 10 Proactive Controls unterstützen gleichzeitig dabei, diese Sicherheitsprobleme gezielt zu beheben, und zeigen Java-Entwicklern, was sie bei der täglichen Entwicklungsarbeit unbedingt berücksichtigen müssen.