Sicher in die Cloud mit Angular 2 und Spring Boot Andreas Falk 16.02.2017 s p O SSO v Agile Web e TDD D a Spring v Threat Modeling OAuth2 a J Architecture Java EE e d d BDD u Scrum OWASP o s C o e lC Security IoT c n i SAML v a r Andreas Falk / Germany e Code Review n e NovaTec Consulting GmbH lC as o Static Analysis b [email protected] r n c @andifalk ai M K Sicher in die Cloud mit Angular 2 und Spring 2 Boot https://owasp.org OWASP Top 10 (Neue Version in 2017)! OWASP Mobile Top 10 (2016) Cheat Sheets OpenSAMM ASVS Lokale Chapters OWASP Zap ProActive Controls Sicher in die Cloud mit Angular 2 und Spring 3 Boot Architektur / Threat Model Intrusion Detection Cloud Security SQLi Autorisierung Microservice Authentifizierung DB API Gateway SSL / Microservice TLS DB Angular 2 Session Fixation Auditing Logging Monitoring XSS CSRF OUT OF SCOPE: Mobile und IoT Devices! Sicher in die Cloud mit Angular 2 und Spring 4 Boot Angular 2 https://angular.io Sicher in die Cloud mit Angular 2 und Spring 5 Boot Angular 1.x Angular 2 https://angularjs.blogspot.de/2016/09/angular-16-expression-sandbox-removal.html Sicher in die Cloud mit Angular 2 und Spring 6 Boot https://github.com/angular/angular/issues/8511 Sicher in die Cloud mit Angular 2 und Spring 7 Boot Sicherheitseinstufung in Angular 2 Alle Werte (Alles was ins DOM wandert) Angular Templates (Vorsicht: Template-Injection) Kontextabhängige Sanitization und Escaping HTML (z.B. Bindings mit „innerHtml“) Style (CSS Bindings) URL (URL Eigenschaften wie <a href>) Resource URL (z.B. <image src> oder <script src>) Sicher in die Cloud mit Angular 2 und Spring 8 Boot https://angular.io/docs/ts/latest/api/platform-browser/index/DomSanitizer-class.html bypassSecurityTrustHtml(value: string) : SafeHtml bypassSecurityTrustStyle(value: string) : SafeStyle bypassSecurityTrustScript(value: string) : SafeScript bypassSecurityTrustUrl(value: string) : SafeUrl bypassSecurityTrustResourceUrl(value: string) : SafeResourceUrl Gefahr von XSS !! Sicher in die Cloud mit Angular 2 und Spring 9 Boot https://angular.io/docs/ts/latest/api/core/index/ElementRef-class.html class ElementRef { constructor(nativeElement: any) nativeElement : any } Direkter Zugriff auf das DOM Gefahr von XSS !! Sicher in die Cloud mit Angular 2 und Spring 10 Boot