Seminar Phoenix Framework – Security Hardening

Die Schulung härtet Phoenix-Anwendungen gegen typische Web-, Realtime- und Betriebsrisiken. Eingabevalidierung, Zugriffskontrolle, Sessions, CSRF, sichere Ausgabe, Uploads, Secrets, Header, TLS, Logging und Sicherheitsprüfungen werden in einem strukturierten Hardening-Prozess umgesetzt.

Inhaltsübersicht

• Seminarprofil, Zielgruppe und Voraussetzungen
• Lernziele
• Schrittweise Seminarinhalte
• Praxisprojekt
• Methodik

Zielgruppe

Phoenix-Entwickler, Security Engineers, Softwarearchitekten und technische Betriebsverantwortliche

Voraussetzungen

Gute Phoenix-, Ecto- und Authentifizierungskenntnisse

Lernziele

• Bedrohungen und Schutzbedarf systematisch erfassen
• Eingabe-, Ausgabe- und Zugriffsschutz lückenlos umsetzen
• LiveView, Channels, Uploads und Betriebsparameter härten
• Sicherheitskontrollen mit Negativtests und Reviewchecklisten nachweisen

Seminarinhalte

1. Bedrohungsmodell und Angriffsflächen

1. Schritt 1: Daten, Rollen, Vertrauensgrenzen und kritische Aktionen erfassen.
2. Schritt 2: Browser, API, LiveView, Channels und Integrationen getrennt betrachten.
3. Schritt 3: Risiken nach Auswirkung und Eintrittswahrscheinlichkeit priorisieren.

2. Eingabevalidierung und Datenintegrität

1. Schritt 1: Externe Parameter explizit filtern und typisieren.
2. Schritt 2: Changesets und Datenbank-Constraints gemeinsam einsetzen.
3. Schritt 3: Mass Assignment und unsichere dynamische Abfragen vermeiden.

3. Authentifizierung und Zugriffskontrolle

1. Schritt 1: Sitzungen, Token und Passwortabläufe überprüfen.
2. Schritt 2: Scopes an sämtlichen Datenzugriffen durchsetzen.
3. Schritt 3: Objektbezogene Autorisierung und Mandantengrenzen negativ testen.

4. Browser- und Ausgabesicherheit

1. Schritt 1: HEEx-Escaping und sichere HTML-Erzeugung beachten.
2. Schritt 2: CSRF-Schutz, Cookieeigenschaften und Sessionrotation prüfen.
3. Schritt 3: Sicherheitsheader und kontrollierte Weiterleitungen konfigurieren.

5. LiveView und Channels

1. Schritt 1: Events, Parameter und Topic-Joins als untrusted input behandeln.
2. Schritt 2: Serverseitige Autorisierung unabhängig von UI-Zustand durchführen.
3. Schritt 3: Frequenz, Nutzlast und Missbrauch bei Realtime-Ereignissen begrenzen.

6. Dateien und externe Inhalte

1. Schritt 1: Uploads nach Typ, Größe, Anzahl und Dateiname beschränken.
2. Schritt 2: Speicherort, Verarbeitung und Auslieferung voneinander trennen.
3. Schritt 3: Externe URLs und serverseitige Abrufe nur nach strenger Prüfung zulassen.

7. Secrets, TLS und Laufzeit

1. Schritt 1: Geheimnisse aus Quellcode und Images entfernen.
2. Schritt 2: Runtime-Konfiguration validieren und minimale Berechtigungen setzen.
3. Schritt 3: TLS, Proxy-Header, Origin-Prüfung und Hostkonfiguration absichern.

8. Logging, Updates und Sicherheitsnachweis

1. Schritt 1: Sicherheitsereignisse ohne sensible Inhalte protokollieren.
2. Schritt 2: Abhängigkeiten, Patches und Konfigurationsänderungen kontrollieren.
3. Schritt 3: Hardening-Checkliste, Negativtests und Vorfallablauf dokumentieren.

Praxisprojekt

Sicherheitsanalyse und Härtung einer Phoenix-Anwendung mit Benutzerkonten, LiveView, JSON-API und Uploads einschließlich Threat Model, Negativtests, Headern, Secret-Management und Reviewcheckliste.

Methodik

Kurze fachliche Einführungen wechseln mit Live-Demonstrationen, geführten Implementierungsschritten, eigenständigen Übungen, Code-Reviews, Fehlerszenarien und überprüfbaren Zwischenständen. Sämtliche Übungen bauen auf einem konsistenten Referenzprojekt auf.