Sicher in die Cloud mit Angular 2 und Spring Boot, A. Falk

47 Pages·2017·1.32 MB·German

by  Andreas Falk

Sicher in die Cloud mit
Angular 2 und Spring Boot
Andreas Falk
16.02.2017
s
p
O
SSO
v
Agile Web e TDD

D a
Spring v
Threat Modeling OAuth2
a
J
Architecture
Java EE

e

d d BDD
u Scrum OWASP
o s
C o e
lC Security IoT c
n i SAML
v
a
r
Andreas Falk / Germany e Code Review n e
NovaTec Consulting GmbH lC as
o
Static Analysis b
[email protected] r
n
c
@andifalk ai
M
K
Sicher in die Cloud mit Angular 2 und Spring
2
Boot
https://owasp.org
OWASP Top 10 (Neue Version in 2017)!
OWASP Mobile Top 10 (2016)
Cheat Sheets
OpenSAMM
ASVS
Lokale Chapters
OWASP Zap ProActive Controls
Sicher in die Cloud mit Angular 2 und Spring
3
Boot
Architektur / Threat Model
Intrusion Detection
Cloud Security
SQLi
Autorisierung
Microservice
Authentifizierung
DB
API Gateway
SSL /
Microservice
TLS
DB
Angular 2 Session Fixation
Auditing Logging Monitoring
XSS CSRF
OUT OF SCOPE: Mobile und IoT Devices!
Sicher in die Cloud mit Angular 2 und Spring
4
Boot
Angular 2
https://angular.io
Sicher in die Cloud mit Angular 2 und Spring
5
Boot
Angular 1.x
Angular 2
https://angularjs.blogspot.de/2016/09/angular-16-expression-sandbox-removal.html
Sicher in die Cloud mit Angular 2 und Spring
6
Boot
https://github.com/angular/angular/issues/8511
Sicher in die Cloud mit Angular 2 und Spring
7
Boot
Sicherheitseinstufung in Angular 2
Alle Werte (Alles was ins DOM wandert)
Angular Templates (Vorsicht: Template-Injection)

Kontextabhängige Sanitization und Escaping
HTML (z.B. Bindings mit „innerHtml“)
Style (CSS Bindings)
URL (URL Eigenschaften wie <a href>)
Resource URL (z.B. <image src> oder <script src>)
Sicher in die Cloud mit Angular 2 und Spring
8
Boot
https://angular.io/docs/ts/latest/api/platform-browser/index/DomSanitizer-class.html
bypassSecurityTrustHtml(value: string) : SafeHtml
bypassSecurityTrustStyle(value: string) : SafeStyle
bypassSecurityTrustScript(value: string) : SafeScript
bypassSecurityTrustUrl(value: string) : SafeUrl
bypassSecurityTrustResourceUrl(value: string) : SafeResourceUrl
Gefahr von XSS !!
Sicher in die Cloud mit Angular 2 und Spring
9
Boot
https://angular.io/docs/ts/latest/api/core/index/ElementRef-class.html
class ElementRef {
constructor(nativeElement: any)
nativeElement : any
}
Direkter Zugriff auf das DOM
Gefahr von XSS !!
Sicher in die Cloud mit Angular 2 und Spring
10
Boot