Föredrag om autentisering och OpenID Connect

Föredrag om autentisering

Jag har tagit fram följande föredrag om autentisering, OpenID Connect och OAuth i ASP.NET Core, som är min huvudsakliga inriktning.

A Tokenless SPA: Secure Authentication with the BFF Pattern

Single-page applications implementerar ofta OAuth/OIDC direkt i webbläsaren. Det kan fungera, men det ökar också angreppsytan och ger en komplexitet som lätt blir fel.

Föredraget presenterar ett modernt alternativ: mönstret Backend-for-Frontend (BFF). I stället för att behandla SPA:n som OAuth-klient blir BFF:en klienten, och webbläsaren får bara en säker session cookie med HttpOnly. Vi går igenom arkitekturen, flödena för anrop (inloggning, API-anrop, utloggning) och praktiska försvar som SameSite cookies, prefix på cookies, CORS lockdown och skydd mot CSRF för SPA:er på samma origin.

Deltagarna går därifrån med en tydlig väg från ”tokens i webbläsaren” till en sessionsbaserad BFF-modell, med kod i ASP.NET Core som visas live och vägledning för implementation i verkliga miljöer.

Du lär dig:

• De verkliga riskerna med att hantera tokens i webbläsaren
• Hur BFF-mönstret fungerar och varför det är säkrare
• Hur du bygger SPA:er som förblir säkra utan att lagra tokens i webbläsaren
• Praktisk vägledning för implementation och vanliga fallgropar

Föredraget är för utvecklare som arbetar med OpenID Connect och OAuth och vill ha ett modernt och säkert sätt att hantera autentisering i SPA:er. Kodexempel visas live i ASP.NET Core.

OpenID Connect for .NET developers

Att lägga till OpenID Connect i ASP.NET Core börjar ofta med ett anrop till AddOpenIdConnect(). Men vad händer egentligen under huven?

I den här sessionen bygger vi upp en praktisk mental modell av OpenID Connect och går igenom de tre viktigaste uppgifterna för handlern för OpenID Connect: att starta flödet för autentisering, att hantera callbacken och hämta tokens, och att logga ut användaren.

På vägen ser vi hur applikationen får veta vem användaren är och får åtkomst till skyddade API:er. Föredraget ger dig en god utgångspunkt för att förstå och använda OpenID Connect i dina ASP.NET Core-applikationer.

Demystifying authentication in ASP.NET Core

I det här föredraget förklarar jag hur autentisering fungerar i ASP.NET Core, som kan vara komplicerat och ha många olika delar. Vi går igenom de viktigaste idéerna, som schemes, handlers, ClaimsPrincipal, claims, challenges, session cookies och mer. Det blir en praktisk och djup genomgång av hur autentisering egentligen fungerar under huven.

Top Authentication Fails in ASP.NET Core (and How to Avoid Them)

Efter att ha skrivit över 1 100 svar på Stack Overflow, mest om autentisering och OpenID Connect, har jag sett samma misstag och fallgropar dyka upp om och om igen. I det här föredraget går jag igenom några av de vanligaste misstagen som utvecklare gör när de bygger lösningar för autentisering.

Från enkla felkonfigurationer till djupare missförstånd om protokoll och säkerhetsflöden går vi igenom de fällor som det är alltför lätt att hamna i när man arbetar med autentisering i ASP.NET Core. Du lär dig varför vissa vanliga arbetssätt faktiskt är antimönster, hur du undviker att öppna för sårbarheter, och vilka bästa metoder som hjälper dig att bygga säker och pålitlig autentisering.

The Data Protection API: The Hidden Security Hero in ASP.NET Core

Data Protection API skyddar cookies för autentisering, antiforgery tokens och annan känslig data i ASP.NET Core. Det ”bara fungerar” ofta i utveckling, men i produktion kan det ge trasiga inloggningar och slumpmässiga utloggningar efter ny deployment eller när man skalar ut bakom en load balancer.

Sessionen förklarar Data Protection ur ett produktionsperspektiv. Vi går igenom hur key rings skapas och roteras, varför miljöer med flera instanser inte fungerar, hur purpose strings påverkar isolering och interoperabilitet, och hur du delar cookies för autentisering mellan services på ett säkert sätt.

Du går därifrån med en tydlig förståelse för hur ASP.NET Core-applikationer beter sig i produktion och vad som krävs för att köra Data Protection pålitligt i stor skala.

AddJwtBearer – deep dive

De flesta av oss använder JwtBearer-handlern i ASP.NET Core för att skydda våra API:er. Men vad gör den egentligen? Vad får den att fungera? Vilka överväganden om säkerhet och pålitlighet bör vi känna till när vi går till produktion? Och slutligen, har något ändrats i .NET 8? I den här presentationen försöker jag ge klarhet i de här frågorna.

Introduction to OAuth/OpenID Connect

Säkerhet baserad på tokens är ett område som kan vara mycket komplext, med många olika standarder och koncept. I det här seminariet introducerar jag vad OpenID Connect handlar om. Vi tar bland annat upp:

• Var finns våra säkerhetsutmaningar i moderna mjukvaruarkitekturer?
• Varför behöver vi OAuth/OpenID Connect?
• Vad är tokens och vilka olika tokens finns det?
• Vad är scopes och claims?
• Vilka flows finns det i OpenID Connect?

OpenID Connect and ASP.NET Core

I den här delen tittar vi på hur vi kan använda OpenID Connect i en miljö med ASP.NET Core, tillsammans med IdentityServer, för att skydda en MVC-applikation och ett API.

Föredraget är en fortsättning på föredraget Introduction to OAuth/OpenID Connect. Vi tar bland annat upp:

• Hur implementeras autentisering och auktorisering i ASP.NET Core?
• Hur skyddar man en MVC-applikation och ett API i ASP.NET Core med OpenID Connect?
• Vad är IdentityServer och hur kan vi använda det i vår arkitektur?

Securing User Logins and Cookie Sessions

Stulna cookies i webbläsaren och nätfiske är verkliga hot mot moderna webbapplikationer. Även användare med starka lösenord och tvåfaktorsautentisering (2FA) kan bli komprometterade.

I den här sessionen tittar vi på hur angripare stjäl session cookies, vad som händer när en cookie kapas och hur man upptäcker och agerar på de här attackerna. Du ser också varför autentiseringsappar i mobilen inte är så säkra som många tror, och hur angripare kan gå förbi 2FA även när engångskoder används.

Du går därifrån med praktiska strategier för att skydda användarnas inloggningar och sessioner, förbättra säkerheten i sessioner och minska risken för kontoövertaganden.

För fler föredrag, se min sida om föredrag.