- Wie sehen realistische Angriffe aus und was sind die Konsequenzen?
- Wie lassen sich hier Fehler bereits „theoretisch“ (z.B. in der Design-/Entwurfsphase) vermeiden bzw. einschränken?
- Wie vermeide ich gängige Umsetzungsfehler?
- Wie identifiziere ich Schwachstellen im bestehenden Code?
Die Arbeit mit realistischen Code-Beispielen und zahlreichen eingeflochtenen Übungen stellen den zentralen Gedanken dieses stark technisch ausgerichteten Seminars dar.
Durch die Vermittlung verbreiteter Angriffsvektoren und Schwachstellen sowie entsprechender Gegenmaßnahmen werden die Teilnehmer befähigt, in Zukunft sicher(er)en Programmcode zu produzieren und potentielle neuralgische Stellen einer mobilen Anwendung angemessen zu reflektieren. Einzeln oder in kleinen Gruppen werden in unserer modernen Schulungsumgebung realistische Schwachstellen identifiziert, korrigiert, Lösungen verifiziert und diskutiert. Folgende Fragestellungen werden dabei spezifisch zum behandelten Szenario immer wieder adressiert:
Themen:
Im Lauf des Seminars wird eine, hinsichtlich der zentralen „Mobile OWASP Top 10 Schwachstellen“, initial unsichere Android-Anwendung gemeinsam immer wieder statisch und dynamisch analysiert. Die Teilnehmer korrigieren die eingebauten Schwachstellen anschließend selbstständig, diskutieren und verifizieren das korrigierte Verhalten zur Laufzeit. Unsere moderne Schulungsumgebung gewährleistet dabei einen effizienten Zugriff auf das Übungsmaterial. Die Lösungen der Teilnehmer werden teilweise automatisch überprüft, wordurch jeder Teilnehmer unabhängiges und der jeweiligen Geschwindigkeit angepasstes Feedback über seinen eigenen Lernerfolg erhält.
Kursinhalt
Codebeispiele: Android und iOS
Übungen: Android App
Übergreifende Szenarien-Strukturierung
- Eingabe- und Ausgabebehandlung
- Authentifizierung und Passwort Management
- Interprozess-Kommunikation
- Session Management
- Zugriffskontrolle
- Kryptographie
- Fehlerbehandlung und Logging
- Datenablage / -schutz
- Kommunikationssicherheit
- Systemkonfiguration
- Datenbank Sicherheit
- Dateimanagement
- Speicherverwaltung
Auswahl betrachteter Technologien (anpassbar):
- Bean-Validation
- Bcrypt/Scrypt
- JCE, JCA, JSSE
- JPA / Prepared Statements
- Servlet, JSP, JSTL, JSF, Facelets
- JSoup
- Coverity
- JSON Web Token (JWT)
- JQuery
- DOMPurify
- Xerces, JAXB, Jackson, Jersey usw.
Facts
Zielgruppe
- Architekten
- Softwareentwickler
- Projektleiter
Dauer
2 bis 3 Tage oder individuell zugeschnitten
Voraussetzungen
Best Practices für sichere Webanwendungen oder ähnlicher Kenntnisstand
Sämtliche Inhalte können in Absprache mit Ihnen spezifisch für Sie angepasst werden!
Unser Schulungsangebot richtet sich an Unternehmen und Organisationen. Schon ab drei Teilnehmern kann eine Schulung wirtschaftlich sein. Diese findet bei Ihnen im Haus statt oder wird von uns in Ihrer Wunschumgebung organisiert.
Unser Schulungsangebot richtet sich an Unternehmen und Organisationen. Schon ab drei Teilnehmern kann eine Schulung wirtschaftlich sein. Diese findet bei Ihnen im Haus statt oder wird von uns in Ihrer Wunschumgebung organisiert.
Trainer:
Mirco Richter
Erfahrener SSDLC Berater mit 15+ Jahren Softwareentwicklungserfahrung
Björn Kirschner
Erfahrener Penetrationstester und Informationssicherheitsberater
