Sammanfattning - "Stå-upp"-vlogg (2024)

Den här inspelningen är delad mellan de två kurserna: första delen handlar om 1DV025, andra delen — den som sammanfattas här — om 1DV026:s femte kursvecka.

Säkrare, inte säkra

Veckan handlar om webbsäkerhet. Kursledningen brukar säga att det är omöjligt att skriva helt säkra applikationer, men att man kan bemöda sig om att skriva dem säkrare. Området är så stort att det finns hela utbildningar som bara handlar om säkerhet, så veckan är en orientering.

Föreläsningen är en traditionell salsföreläsning från tiden före pandemin, men innehållet är fortfarande relevant. En sak har ändrats sedan dess: i föreläsningen sägs att det räcker med HTTP för examinationsuppgiften som länge har kallats “CRUD-uppgiften”. I dag är HTTPS ett krav. Det påverkar inte hur applikationen skrivs, bara hur den driftsätts.

Säkerhet i vardagen

Den som läser en webbutbildning blir snabbt familjens datortekniker, och frågorna handlar ofta om säkerhet, till exempel vad som händer när man klickar på en länk i ett mejl. Därför lönar det sig att vara på tårna redan som student. För den som vill fördjupa sig finns poddtipsen i läsanvisningarna: den svenska och mer lättillgängliga Bli säker, samt Darknet Diaries och Security Now.

Kursledningen delar också med sig av hur de hanterar sina egna konton:

Unika lösenord. Använd aldrig samma lösenord på flera ställen. Med långa, slumpade lösenord och hundratals konton behövs en lösenordshanterare, till exempel Bitwarden eller 1Password.
Skydda mejlkontot först. Lösenordsåterställningar hamnar i inkorgen, så den som kommer åt ens mejl kommer åt det mesta.
Flerfaktorsautentisering där det går, med tidskoder i mobilen eller en fysisk säkerhetsnyckel. Se till att ha en reserv, och kom ihåg att flytta med autentiseringen när du byter telefon.

Attacker förändras över tid

Vilka attacker som är vanligast varierar med åren. CSRF låg länge högt, men har blivit enklare att skydda sig mot, bland annat tack vare cookie-attributet SameSite. SQL-injektion är en klassiker som går att undvika helt om frågorna hanteras rätt, men som fortfarande dyker upp när någon slarvar, även hos stora aktörer. Samtidigt tillkommer nya typer av attacker, så grunderna i säker programmering är värda att kunna.

Inspelningen om OWASP Top 10 gäller 2021 års lista. Listan uppdateras med några års mellanrum, och förändringarna mellan versionerna brukar vara måttliga. Den nya lista som väntades vid inspelningstillfället har sedan dess kommit: OWASP Top 10:2025, där bruten åtkomstkontroll fortfarande ligger i topp.

Övrigt denna vecka

Det finns ingen ny övningsuppgift den här veckan. Den som inte har gjort förra veckans webbskrapa-övning, “The Promising Web Scraper”, bör göra den nu, eftersom examinationsuppgiften A2 är en webbskrapa med deadline i början av januari. Planera tiden, för i mitten av januari kommer dessutom B3 i 1DV025.

Under veckan skrivs också online-testet för A1 på Moodle. Det täcker kursvecka 1, 2, 3 och 5, så titta igenom webbsäkerhetsmaterialet innan. Testet är bara tillgängligt för den som är registrerad på kursen. Den som inte klarar testet får en ny chans i början av januari.