Web Application Security

An wen richtet sich das Zertifikat?

Das Modul richtet sich an Personen, die ein solides Grundverständnis der Sicherheit von Web-Applikationen benötigen. Es richtet sich insbesondere an angehende Web-Entwicklerinnen und -Entwickler, die ihre Applikationen von Grund auf sicher gestalten wollen, sowie an Betreiberinnen und Betreiber von bestehenden Web-Applikationen, die nachträglich Sicherheitsmechanismen ausrollen möchten. 

Studienziele und Berufsfelder

Das Modul "Web Application Security" vermittelt grundlegende Kenntnisse in Computersicherheit mit Fokus auf Web-Applikationen. Es behandelt wichtige Sicherheitsprobleme sowie Lösungsansätze und deckt auch rechtliche Aspekte wie strafrechtliche und zivilrechtliche Rahmenbedingungen ab. Zudem werden Organisationsanforderungen für Web Security Compliance vorgestellt. Die Teilnehmenden erwerben Fähigkeiten zur Absicherung von Webapplikationen. Sie lernen, Schwachstellen zu erkennen, Exploits zu entwickeln und 'Defense-in-depth'-Mechanismen anzuwenden.

Wozu berechtigt ein Zertifikat?

Nach erfolgreichem Abschluss des Moduls wird ein Hochschul-Zertifikat ausgehändigt und die Teilnehmenden verfügen über folgende Kompetenzen: 

• Die Teilnehmenden kennen die rechtlichen Grundlagen in Bezug auf Web-Applikations-Sicherheit. Konkret sind sie sowohl mit den strafrechtlichen Aspekten der Computersicherheit sowie den Datenschutzaspekten von Webapplikationen im Speziellen vertraut.
• Die Studierenden kennen alle relevanten Angriffsklassen gegen client- und server-seitige Web Applikationen. Sie können anhand von Code-Stücken Verwundbarkeiten erkennen und beschreiben und kennen zudem die notwendigen Gegenmaßnahmen.
• Sie können bestehende Verwundbarkeiten beheben sowie in der Entwicklung neuer Applikationen von vornherein diese unterbinden. 
• Sie kennen zudem für Sicherheitsmechanismen wie CSP solche Funktionalität, die einem Deployment im Wege steht.
• Durch eigenständiges Bearbeiten der Übungen sind sie außerdem in der Lage, kurze Proof-of-Concept-Exploits zu entwickeln sowie die notwendigen Patches an bestehenden Applikationen durchzuführen. 

Inhalt des Zertifikats/Modulzertfikats

Im Modul werden zunächst die rechtlichen Grundlagen der Computersicherheit behandelt. Dabei werden strafrechtliche, haftungsrechtliche und datenschutzrechtliche Aspekte sowie Web-Security-Compliance berücksichtigt. Anschließend werden verschiedene Angreifermodelle beleuchtet, darunter Web-, Netzwerk-, Remote- und Social-Engineering-Angreifer. Begleitet wird dies von einem historischen Überblick über HTTP/HTML. 

Ein weiterer Schwerpunkt liegt auf den grundlegenden Technologien und Sicherheitskonzepten im Web. Es werden Themen wie Session-Management mit Cookies, JavaScript mit Syntax, Scoping und DOM-Manipulation sowie die Same-Origin Policy und Domain Relaxation ausführlich behandelt. Auch die Thematik der Cross-Origin Kommunikation wird ausführlich behandelt, einschließlich Konzepte wie JSONP, Cross-Origin Resource Sharing (CORS) und DNS Rebinding. 

Ein weiteres wichtiges Thema ist Cross-Site Scripting (XSS). Es umfasst verschiedene Arten wie Server-seitiges reflektiertes XSS, Server-seitiges persistierendes XSS, Client-seitiges reflektiertes XSS und Client-seitiges persistierendes XSS. Es werden nicht nur die Angriffsszenarien erläutert, sondern auch Präventionsmaßnahmen wie die Content Security Policy diskutiert. 

Weitere Themen umfassen Cross-Origin-Angriffe wie Cross-Site Request Forgery (CSRF) und Cross-Site Script Inclusion (XSSI) sowie entsprechende Präventionsstrategien, einschließlich Subresource Integrity, iFrame-Sandboxing und Gegenmaßnahmen gegen Clickjacking. 

Abschließend werden Grundlagen zur Sicherheit der Infrastruktur vermittelt, einschließlich TLS/HTTPS mit Konzepten wie Perfect Forward Secrecy, Certificate Authorities, OCSP & Stapling sowie Certificate Transparency. 

Registrierungsverfahren und Bewerbung

• Sie schreiben eine Mail mit Name, Adresse und Kontaktdaten an cecsaar@uni-saarland.de
• Sie erhalten von uns die Zahlungsinformationen.
• Sie überweisen die Gebühren.
• Wir überprüfen den Geldeingang.
• Wir versenden einen Zulassungsbescheid nach erfolgreichem Geldeingang.
• Die Interessenten melden sich in SIM an, laden dort den Zulassungsbescheid hoch und können sich registrieren.