Wie APIs angegriffen werden und wie Entwickler sicher entwickeln – OWASP API Security Top 10 2023

Web-APIs steck­en unter der Haube mod­ern­er Sin­gle-Page-Weban­wen­dun­gen und mobil­er Apps und machen einen großen Teil des Inter­netverkehrs aus. Sicher­heit ist auch hier, beim Entwer­fen und Entwick­eln von Schnittstellen, ein The­ma, das nach wie vor ver­nach­läs­sigt wird. Dem ver­sucht das Open Web Appli­ca­tion Secu­ri­ty Project (OWASP) ent­ge­gen­zuwirken, eine Non-Prof­it-Organ­i­sa­tion es, deren Ziel es ist, die Sicher­heit im Web zu verbessern.

Deren wohl bekan­nteste Veröf­fentlichung sind die OWASP Top 10, eine Liste der zehn kri­tis­chsten Sicher­heit­srisiken in Weban­wen­dun­gen. Weniger geläu­fig sind die OWASP API Secu­ri­ty Top 10, eine Aufzäh­lung der kri­tis­chsten und am weitesten ver­bre­it­eten Sicher­heit­slück­en in Web-Schnittstellen. Ende 2019 veröf­fentlichte die „API Security“-Arbeitsgruppe der OWASP eine erste Ver­sion, im Juni 2023 erschien eine aktu­al­isierte Ver­sion der API-Liste.

Der Vor­trag stellt anhand der OWASP API Secu­ri­ty Top 10 Angriffe auf Schnittstellen vor, geht den Ursachen auf den Grund und zeigt, was bei der Entwick­lung dage­gen hil­ft. Was müssen Architek­ten und Entwick­ler bei Mech­a­nis­men zur Authen­tifizierung und Autorisierung beacht­en? Warum darf man sich nicht auf Stan­dard­e­in­stel­lun­gen von Frame­works und Kom­po­nen­ten ver­lassen? Welche Sicher­heit­slück­en entste­hen durch fehlende Eingabeva­li­dierung? Warum ist eine Schutz­maß­nahme wie Rate Lim­it­ing wichtig, und wodurch kann ein Angreifer sie umgehen?

Remote Mob Programming — Zuhause, aber nicht allein

Das ganze Team sitzt in einem Online-Meet­ing und entwick­elt gemein­sam. Ein­er tippt den Code, die anderen disku­tieren. Klingt ungewöhn­lich? Das ist Remote Mob Pro­gram­ming, eine span­nende Arbeitsweise für verteilte Teams. Seit über 3 Jahren arbeit­et Joshua Töpfer Vol­lzeit in einem Remote Mob und möchte nicht mehr anders arbeit­en. Was es damit auf sich hat, was die Vor- und Nachteile dieser Methodik sind und wie ihr her­aus­find­en kön­nt, ob diese Methodik etwas für euer Team ist, erfahrt ihr in diesem Vortrag.

Nuxt 3 in Aktion — Mehr als nur Vue

Meta-Frame­works haben sich in den let­zten Jahren rapi­de entwick­elt — so auch Nuxt mit sein­er let­zten Major-Ver­sion Nuxt 3!

In diesem Talk nehmen wir das vue-basierte Meta-Frame­work genauert unter die Lupe und find­en her­aus, was Unter­schiede zu purem Vue und auch Unter­schiede zu anderen Meta-Frame­works sind.

Das heißt: Ein biss­chen The­o­rie, dann einiges an Live­cod­ing! Zusam­men entwick­eln wir eine kleine Anwen­dung, wer­fen wi einen Blick auf Nitro (die Serv­er-Engine von Nuxt), inte­gri­eren APIs und deployen die Anwendung 🤯

Building Dynamic Web Apps with SvelteKit and Firebase

Svelte has tak­en the fron­tend devel­op­ment world by storm with its inno­v­a­tive approach to build­ing dynam­ic user inter­faces. With the recent release of Svel­teK­it, the pow­er of Svelte expands to full-blown appli­ca­tion devel­op­ment. But how do you lever­age this poten­tial on the Fire­base platform?

Join us in shar­ing what we learned at Loql and let us take you on a jour­ney into the realm of web app devel­op­ment with Svel­teK­it and Fire­base. In this talk, we’ll guide you through the process of set­ting up a Svel­teK­it project and seam­less­ly inte­grat­ing it with Fire­base. You’ll dis­cov­er how to lever­age pow­er­ful Fire­base fea­tures like Authen­ti­ca­tion and Cloud Fire­store to cre­ate dynam­ic, respon­sive, and real-time web applications.

Whether you’re a begin­ner eager to dive into the world of Svelte and Fire­base or an expe­ri­enced devel­op­er look­ing for prag­mat­ic insights and real-world exam­ples, this talk is for you. Get ready to unlock the true poten­tial of Svel­teK­it on the Fire­base plat­form and ele­vate your web app devel­op­ment to new heights!

Wunderwaffe Webbrowser: JavaScript-API-Highlights

Die Zeit­en, in denen JavaScript lediglich für Pop-up-Fen­ster und For­mu­la­rüber­prü­fung ver­wen­det wer­den kon­nten, sind lange vor­bei. Mod­erne Brows­er unter­stützen zahlre­iche APIs mit über­raschen­den Fea­tures: Hard­warezu­griff, Sicher­heit­spro­tokolle, Push-Benachrich­ti­gun­gen, Ver­wal­tung von Zahlungs­dat­en und einiges mehr. In diesem Vor­trag, gespickt mit zahlre­ichen Code­beispie­len, wer­fen wir einen Blick auf viele APIs, die Sie möglicher­weise noch nicht kan­nten, aber hof­fentlich gle­ich aus­pro­bieren möchten.

UX — Ein Drama in drei Akten

In Soft­ware-Pro­jek­ten beobachte ich immer wieder ähn­liche Her­aus­forderun­gen, die sich ein­er guten User Expe­ri­ence in den Weg stellen. Die drei größten will ich gerne mit euch teilen.
Bist du Entwick­ler und fragst dich manch­mal, was zur Hölle diese UXler eigentlich machen und ob man das wirk­lich braucht?
Oder bist du als UXler schon mal im Pro­jekt auf die Rolle des Pix­el-Schub­sers reduziert worden?
Kannst du als PO gut zwis­chen Forderun­gen und Anforderun­gen unterscheiden?
Ob PO, UXler oder Entwick­ler: UX ist eine Teamaufgabe.
Ziel des Vor­trags ist es, euch konkrete Wege aufzuzeigen, wie ihr im All­t­ag effek­tiv — und gemein­sam — daran mitwirken kön­nt, eine großar­tige User Expe­ri­ence zu gestalten.

htmx: Interaktive Webanwendungen ohne JavaScript

Seit Jahren dominieren React, Angu­lar & Co. die Weben­twick­lung, wenn es darum geht, inter­ak­tive Weban­wen­dun­gen zu entwick­eln. Klas­sis­che Mul­ti-Page Appli­ca­tions gel­ten schnell als ungeeignet, wenn mehr als die Anzeige von Seit­en benötigt wird. 

Als mögliche Alter­na­tive dazu bietet sich mit­tler­weile die JavaScript-Bib­lio­thek htmx an. Mit ihr kön­nen Web-Anwen­dun­gen, die z.B. mit Djan­go oder Lar­avel entwick­elt wur­den, mit wenig Aufwand um umfan­gre­iche Inter­ak­tiv­ität erweit­ert wer­den. Bei der Entwick­lung muss dafür kein JavaScript verwenden. 

Dieser Vor­trag stellt htmx und die Schwest­er­bib­lio­thek hyper­script vor und zeigt, wie damit kom­plexe UIs für Web-Anwen­dun­gen wer­den können.

KoliBri — Die barrierefreie und gestaltbare Web Component-Bibliothek

Der HTML-WEBSTANDARD ist an sich sehr “offen” spez­i­fiziert, um möglichst lan­glebig und robust zu sein. Es kommt daher häu­fig vor, dass HTML-Kom­po­si­tio­nen nicht ohne Weit­eres bar­ri­ere­frei, seman­tisch und valide sind. 

KoliB­ri baut direkt auf den WEBSTANDARDS des W3C auf (Frame­work-agnos­tisch), ist dabei eine gener­ische Ref­eren­z­im­ple­men­tierung des WCAG-STANDARDS und der BITV für die Bar­ri­ere­frei­heit und als eine Mul­ti-Them­ing-fähige Präsen­ta­tion­ss­chicht umge­set­zt. Es gibt kein­er­lei fach­lichen Bezug und keine Datenüber­tra­gungs­funk­tion­al­itäten. Damit ist KoliB­ri für die Real­isierung beliebiger web­basiert­er Benutze­r­ober­flächen unter­schiedlich­er Cor­po­rate Designs und Styleguides wiederverwendbar.

In diesem Talk schauen wir gemein­sam, welche Her­aus­forderun­gen KoliB­ri für uns löst und wie stark man davon par­tizip­ieren kann.

Guerilla Organisation Enablement — entwicklergetriebene Transformation

Leis­tungsstarke Teams wer­den oft durch langsame Organ­i­sa­tio­nen behin­dert, wodurch ihre Wirkungskraft geschmälert wird. Aber was kann man als Otto Nor­ma­len­twick­ler dage­gen tun?

Ich glaube, dass ganze Unternehmen von Grund auf verän­dert wer­den kön­nen, ange­fan­gen beim tech­nis­chen Kern, ganz ohne Mandat.

Auf diesem Weg befind­en sich einige Organ­i­sa­tio­nen — mit aus­sicht­sre­ichen ersten Ergeb­nis­sen. In diesem Vor­trag teile ich mit dir Meth­o­d­en aus mein­er Prax­is, z.B. Do then dis­cuss, Help oth­ers first, Hold up a mir­ror, Max­imise work not done, Make excel­lence easy und Take respon­si­bil­i­ty. Ich möchte dich dazu inspiri­eren, ähn­lich­es zu tun. Wirst du dich der Rev­o­lu­tion anschließen?

Neue Schulen der testgetriebenen Entwicklung

TDD ist nicht gle­ich TDD. Im Laufe der Jahre haben Entwick­lerIn­nen unter­schiedlich­ste Stile und Herange­hensweisen entwick­elt. Manche davon haben einen Namen und sind detail­liert beschrieben, wie z.B. Lon­don oder Chica­go — die Schulen der der test­getriebe­nen Entwicklung.

Neben den bewährten TDD-Schulen wie Lon­don oder Chica­go, gibt es aber auch neuere wie München oder St. Pauli. Wir schauen uns an, was sie zu bieten haben und wann sich der Ein­satz lohnt.