Autoryzacja i zarządzanie dostępem: OAuth2, OpenID Connect, JWT i Keycloak, szkolenie online w czasie rzeczywistym

Wprowadzenie do uwierzytelniania vs autoryzacji, różnice, pojęcia, kontekst

• czym jest uwierzytelnianie (authentication), a czym autoryzacja (authorization)
• identity vs access control
• modele RBAC, ABAC, ACL
• SSO i federacja tożsamości
• podstawowe pojęcia: access token, ID token, refresh token
• typowe błędy koncepcyjne w projektowaniu systemów logowania

Architektura OAuth 2.0, role (Client, Resource Owner, Authorization Server)

• Resource Owner, kto jest właścicielem tożsamości
• Client, aplikacja publiczna vs poufna
• Authorization Server, wydawanie tokenów
• Resource Server, ochrona zasobów
• przepływ autoryzacji krok po kroku
• różnica między trust boundary a security boundary

Typy grantów w OAuth 2.0, Authorization Code, Client Credentials, PKCE

• Authorization Code Flow, dla aplikacji webowych
• PKCE, ochrona aplikacji publicznych
• Client Credentials, komunikacja machine- to- machine
• dlaczego nie używać Implicit Flow
• kiedy stosować który grant
• zagrożenia związane z błędnym doborem flow

OpenID Connect, rozszerzenie OAuth2 do tożsamości użytkownika

• czym jest OpenID Connect (OIDC)
• ID Token vs Access Token
• endpoint userinfo
• discovery document (.well-known/ openid- configuration)
• scope: openid, profile, email
• integracja logowania federacyjnego (np. Google, Azure AD)

Tokeny JWT, budowa, dekodowanie, podpisywanie i weryfikacja

• struktura JWT (header, payload, signature)
• algorytmy podpisu (HS256, RS256)
• weryfikacja podpisu po stronie API
• claims standardowe (iss, sub, aud, exp, iat)
• zagrożenia: token tampering, brak walidacji aud
• różnica między JWT signed i encrypted

Scenariusze logowania użytkowników w aplikacjach webowych i mobilnych

• logowanie w SPA (Authorization Code+ PKCE)
• backend- for- frontend (BFF pattern)
• aplikacje mobilne a redirect URI
• komunikacja frontend → backend → authorization server
• logowanie federacyjne
• logout i invalidacja sesji

Zarządzanie sesjami i bezpieczeństwo tokenów, wygaśnięcie, odświeżanie, przechowywanie

• access token vs refresh token
• rotacja refresh tokenów
• przechowywanie tokenów (httpOnly cookies vs localStorage)
• ochrona przed XSS i CSRF
• krótkie TTL jako element bezpieczeństwa
• unieważnianie tokenów (revocation endpoint)

Wprowadzenie do Keycloak, instalacja, konfiguracja, zarządzanie użytkownikami i rolami

• instalacja lokalna (Docker)
• konfiguracja realm
• tworzenie klientów (public/ confidential)
• definiowanie ról i grup
• mapowanie ról do tokenów
• konfiguracja polityk dostępu

Integracja aplikacji z Keycloak (np. Spring Boot/ Node.js/ frontend)

• zabezpieczenie API w Spring Boot
• middleware w Node.js (keycloak-connect/ passport)
• integracja SPA z Keycloak
• weryfikacja JWT w Resource Server
• konfiguracja CORS i redirect URIs
• debugowanie problemów autoryzacyjnych

Dobre praktyki i checklisty bezpieczeństwa dla autoryzacji i zarządzania dostępem

• minimalizacja zakresów (scopes)
• zasada najmniejszych uprawnień
• walidacja tokenów po stronie backendu
• rotacja kluczy podpisujących (JWKS)
• ochrona endpointów administracyjnych
• checklisty bezpieczeństwa przed wdrożeniem produkcyjnym
• monitoring prób nieautoryzowanego dostępu

Uczestnicy szkolenia otrzymają materiały szkoleniowe w formie elektronicznej, obejmujące:

• checklistę wspierającą analizę bezpieczeństwa aplikacji i identyfikację najczęściej występujących podatności,
• materiały dotyczące kodów odpowiedzi HTTP wykorzystywanych podczas testowania aplikacji webowych i usług sieciowych,
• materiał wprowadzający do narzędzia OWASP ZAP wraz z przykładami jego wykorzystania podczas testów bezpieczeństwa,
• przykładowy raport z testów bezpieczeństwa prezentujący sposób dokumentowania wyników oraz zgłaszania wykrytych podatności,
• materiały edukacyjne dotyczące rodzajów ataków oraz najczęściej występujących podatności bezpieczeństwa w aplikacjach i systemach informatycznych,
• zestaw ćwiczeń praktycznych realizowanych podczas szkolenia.

Uczestnicy otrzymają również dostęp do materiałów wykorzystywanych podczas warsztatów praktycznych oraz przykładowych scenariuszy związanych z analizą bezpieczeństwa aplikacji i systemów IT.

Usługa dostępna dla uczestników projektu „Małopolski Pociąg do Kariery – sezon 1” oraz „Nowy Start w Małopolsce z EURESem”. Realizacja możliwa z wykorzystaniem bonów szkoleniowych zgodnie z zasadami projektu.

Usługa realizowana będzie w formie zdalnej w czasie rzeczywistym z wykorzystaniem platformy szkoleniowej ClickMeeting.

Uczestnik powinien dysponować:

• komputerem lub laptopem wyposażonym w mikrofon oraz głośniki lub słuchawki,
• stabilnym dostępem do Internetu,
• aktualną przeglądarką internetową (Google Chrome, Microsoft Edge, Mozilla Firefox lub równoważną),
• aktywnym adresem e-mail umożliwiającym otrzymywanie materiałów szkoleniowych oraz informacji organizacyjnych.

Ze względu na praktyczny charakter szkolenia uczestnik powinien posiadać możliwość instalacji bezpłatnego oprogramowania wykorzystywanego podczas zajęć, w szczególności:

• narzędzia OWASP ZAP lub równoważnego oprogramowania wspierającego analizę bezpieczeństwa aplikacji,
• przeglądarki internetowej umożliwiającej wykonywanie ćwiczeń praktycznych,
• oprogramowania umożliwiającego korzystanie z materiałów szkoleniowych udostępnianych przez trenera.

Przed rozpoczęciem szkolenia uczestnicy otrzymają:

• link do platformy szkoleniowej ClickMeeting,
• instrukcję logowania i udziału w zajęciach,
• informacje organizacyjne dotyczące realizacji usługi,
• listę niezbędnego oprogramowania wykorzystywanego podczas warsztatów praktycznych,
• dostęp do materiałów szkoleniowych w formie elektronicznej.

Uczestnik powinien posiadać podstawowe umiejętności obsługi komputera oraz możliwość aktywnego udziału w ćwiczeniach praktycznych związanych z identyfikacją zagrożeń, analizą podatności oraz oceną bezpieczeństwa aplikacji i systemów informatycznych.