Sicherheit für REST APIs

Die Sicherheit von REST APIs ist ein kritischer Aspekt in der Entwicklung moderner Webanwendungen. REST APIs sind oft das primäre Mittel für den Datenaustausch zwischen Servern und Clients, wodurch sie zu einem attraktiven Ziel für Cyberangriffe werden. Ein besonderes Augenmerk verdient die Implementierung von Authentifizierungs- und Autorisierungsmechanismen. Fehler in diesen Bereichen können zu schwerwiegenden Sicherheitslücken führen, wie dem unberechtigten Zugriff auf sensible Daten oder der Manipulation von Systemfunktionen. Daher ist es unerlässlich, Entwickler und IT-Sicherheitsexperten:innen mit fundiertem Wissen und praktischen Fähigkeiten auszustatten, um solche Schwachstellen effektiv zu identifizieren und zu schließen.

In diesem Kurs beginnen wir mit einem grundlegenden Überblick über REST API Technologien und deren Beschreibungssprachen. Ein besonderer Fokus liegt dabei auf der OpenAPI Beschreibungssprache. Sie werden nicht nur lernen, wie OpenAPI-Dokumente erstellt und interpretiert werden, sondern auch, wie man diese Dokumente sowohl manuell als auch automatisiert analysiert.
Ein weiterer wichtiger Bestandteil des Kurses befasst sich mit den OWASP Top 10 Sicherheitsrisiken speziell für REST APIs. Wir werden gemeinsam die gängigsten Sicherheitsbedrohungen erkunden und praktische Angriffsszenarien durchspielen. In einer speziell für den Kurs vorbereiteten virtuellen Maschine haben Sie die Möglichkeit, verschiedene Angriffe selbst durchzuführen, um ein tieferes Verständnis für die Angriffstechniken und ihre Auswirkungen zu entwickeln.
Darüber hinaus werden datenformat-basierte und komplexere Multi-Step Angriffe behandelt, bei denen Sie Strategien zur Erkennung dieser Bedrohungen erlernen. Zum Abschluss des Kurses diskutieren wir effektive Gegenmaßnahmen und die aktuellsten Best Practices im Bereich der API-Sicherheit.

In der Schulung werden unter anderem die nachfolgenden Fragen beantwortet:

• Welche Sicherheitsrisiken bezüglich REST APIs existieren?
• Wie können REST APIs systematisch nach Schwachstellen untersucht werden?
• Welche Authentifizierungsmethoden stehen zur Verfügung und wie können diese sicher implementiert werden?

Schulungsinhalte:

• Einführung in REST APIs
• Einführung und Analyse von OpenAPI
• API Authentication Bypasses
• OWASP Top 10 API Security Risks
• Gefährliche Datenformate
• Einführung in OAuth und OpenID Connect Flows
• OAuth und OpenID Connect spezifische Angriffe