Översikt
Webbsäkerhet står på schemat denna vecka. Vi introducerar området här men kommer att återkomma till det om och om igen i kursen. En mycket viktig del!
Händer i veckan
Section titled “Händer i veckan”Fokus på webbsäkerhet och en föreläsning ger dig översikt och djupdykning in i ämnet. Organisationen OWASP hjälper utvecklare att ha koll på de vanligaste säkerhetsbristerna i system och programvara. Under namnet “OWASP Top Ten Web Application Security Risks” hittar du de mest aktuella säkerhetsbristerna.
Vi kommer att praktisera ett par lösningar på säkerhetsbrister i kommande examinationsuppgifter B1, B2 och B3.
Fortsätt jobba med förra veckans övningsuppgift, “The Promising Web Scraper”. Det bör vara ditt främsta fokus nu, det och att titta på examinationsuppgiften A2.
“Stå-upp”-vlogg
Section titled ““Stå-upp”-vlogg”Föregående års “stå-upp”-vlogg för er som vill ha en introduktion till kursveckan.
Den här inspelningen är delad mellan de två kurserna: första delen handlar om 1DV025, andra delen — den som sammanfattas här — om 1DV026:s femte kursvecka.
Säkrare, inte säkra
Section titled “Säkrare, inte säkra”Veckan handlar om webbsäkerhet. Kursledningen brukar säga att det är omöjligt att skriva helt säkra applikationer, men att man kan bemöda sig om att skriva dem säkrare. Området är så stort att det finns hela utbildningar som bara handlar om säkerhet, så veckan är en orientering.
Föreläsningen är en traditionell salsföreläsning från tiden före pandemin, men innehållet är fortfarande relevant. En sak har ändrats sedan dess: i föreläsningen sägs att det räcker med HTTP för examinationsuppgiften som länge har kallats “CRUD-uppgiften”. I dag är HTTPS ett krav. Det påverkar inte hur applikationen skrivs, bara hur den driftsätts.
Säkerhet i vardagen
Section titled “Säkerhet i vardagen”Den som läser en webbutbildning blir snabbt familjens datortekniker, och frågorna handlar ofta om säkerhet, till exempel vad som händer när man klickar på en länk i ett mejl. Därför lönar det sig att vara på tårna redan som student. För den som vill fördjupa sig finns poddtipsen i läsanvisningarna: den svenska och mer lättillgängliga Bli säker, samt Darknet Diaries och Security Now.
Kursledningen delar också med sig av hur de hanterar sina egna konton:
- Unika lösenord. Använd aldrig samma lösenord på flera ställen. Med långa, slumpade lösenord och hundratals konton behövs en lösenordshanterare, till exempel Bitwarden eller 1Password.
- Skydda mejlkontot först. Lösenordsåterställningar hamnar i inkorgen, så den som kommer åt ens mejl kommer åt det mesta.
- Flerfaktorsautentisering där det går, med tidskoder i mobilen eller en fysisk säkerhetsnyckel. Se till att ha en reserv, och kom ihåg att flytta med autentiseringen när du byter telefon.
Attacker förändras över tid
Section titled “Attacker förändras över tid”Vilka attacker som är vanligast varierar med åren. CSRF låg länge högt, men har blivit enklare att
skydda sig mot, bland annat tack vare cookie-attributet SameSite. SQL-injektion är en klassiker
som går att undvika helt om frågorna hanteras rätt, men som fortfarande dyker upp när någon
slarvar, även hos stora aktörer. Samtidigt tillkommer nya typer av attacker, så grunderna i säker
programmering är värda att kunna.
Inspelningen om OWASP Top 10 gäller 2021 års lista. Listan uppdateras med några års mellanrum, och förändringarna mellan versionerna brukar vara måttliga. Den nya lista som väntades vid inspelningstillfället har sedan dess kommit: OWASP Top 10:2025, där bruten åtkomstkontroll fortfarande ligger i topp.
Övrigt denna vecka
Section titled “Övrigt denna vecka”Det finns ingen ny övningsuppgift den här veckan. Den som inte har gjort förra veckans webbskrapa-övning, “The Promising Web Scraper”, bör göra den nu, eftersom examinationsuppgiften A2 är en webbskrapa med deadline i början av januari. Planera tiden, för i mitten av januari kommer dessutom B3 i 1DV025.
Under veckan skrivs också online-testet för A1 på Moodle. Det täcker kursvecka 1, 2, 3 och 5, så titta igenom webbsäkerhetsmaterialet innan. Testet är bara tillgängligt för den som är registrerad på kursen. Den som inte klarar testet får en ny chans i början av januari.
Stödjande inspelningar
Section titled “Stödjande inspelningar”Webbsäkerhet
Section titled “Webbsäkerhet”- Introduktion
- Ursprungstanken med webben
- Varför är webbsäkerhet viktigt?
- Vilka riskfaktorer finns?
- Var alltid misstänksam!
- OWASP - Se ny uppdatering nedan.
- Attack - XSS - Cross Site Scripting
- Attack - XSS - Hur skydda sig?
- Attack - XSS - Sagan om Samy
- Content Security Policy
- Attack - CSRF
- Attack - CSRF - Hur skydda sig?
- Attack - Injektionsattack
- Attack - SQL injection
- Attack - NoSQL Injection
- Attack - Externa moduler
- HTTPS
- HTTPS - Certifikat
- Kryptering (Symmetrisk och Asymmetrisk)
OWASP Top 10 - 2021
Section titled “OWASP Top 10 - 2021”Läsanvisningar
Section titled “Läsanvisningar”Under läsanvisningar hittar du veckans läsning och tips på externa resurser. Planera upp och dela upp läsningen under veckan.
Handledning
Section titled “Handledning”Skicka gärna in frågor på förhand via vårt formulär som du når här:
Utmaningar
Section titled “Utmaningar”Även denna vecka finns ett antal utmaningar att lösa för att hjälpa dig i din lärprocess. Lägg lite tid på att läsa igenom dem.
Studiefrågor
Section titled “Studiefrågor”Här är ett antal frågor som du kan försöka besvara och diskutera tillsammans med din Ai-kompis. Tveka inte att lyfta någon av frågorna till handledningen för att fortsätta diskussionen med lärare och studiekamrater.
Frågor att diskutera med din Ai-kompis
- När man bygger webbapplikationer och webbtjänster, vilka är de vanligaste säkerhetsbristerna som programmerare inför i systemen?
- Vilken roll har OWASP i att lära oss sårbarheter i systemen?
- Vilken data förlitar sig OWASP på, vilka organisationer samlar in data som OWASP sammanställer?
- Vad betyder CWE och vilken roll spelar de i OWASP?
- Hur arbetar en hackare för att hitta sårbarheter i ett system?
Här är en utskrift från hur det såg ut när jag diskuterade ovan frågor med min Ai-kompis Ajj.
Här följer tips till hur du kan prioritera bland kursmaterialet för att komma igång med veckan.
- Titta igenom föreläsningen om webbsäkerhet. Veckans läsanvisningar ger tips om externa resurser där du kan fördjupa dig mer i området.
- Kika på utmaningarna och se om du kan besvara dem med hjälp av föreläsningen.
- Fokus på “webbskrapa” via övningsuppgiften “The Promising Web Scraper” och examinationsuppgiften A2.
