Seminář
 |
Filip Zavoral - garant |
| Luděk Rašek, CGI |
| Škoda Auto (různí přednášející) |
Prakticky orientovaný předmět zaměřený na různé aspekty bezpečnosti softwarových systémů.
Teoretické přednášky budou doplněny praktickou částí, kde studenti aplikují získané znalosti.
Podmínkou udělení zápočtu je splnění úkolů během semináře.
Harmonogram
| 2.10.-27.11. | CGI |
| 4.12.-8.1. | Škoda Auto |
| 12.1. | termín na dokončení všech zadaných úkolů pro získání zápočtu |
Předpoklady
- znalost C++, C#, Java nebo vývoje webových aplikací (vhodné od 3. roč. výše)
- vlastní notebook
Požadavky na získání zápočtu
- vypracování, dokončení a odevzdání zadané práce
- účast na alespoň dvou přednáškách Škoda Auto
- na závěr vlastní hodnocení předmětu a jeho částí
- deadline na dokončení (na schválení, nikoliv na první pokus o odevzdání) všech úloh je 12.1.
Program
Bude aktualizován
Identifikace, autentizace, autorizace a auditing
Identifikace, identifikátor, autentizace (znalost, vlastnictví, biometrie), credentials, autorizace, federalizace. Budou rozebrány moderní metody používané pro bezpečnou autentizaci jako druhý faktor a jako passwordless mechanismy autentizace. Detailně budou rozebrány mechanismy xOTP (HOTP, TOTP), WebAuthn a navazující technologie pro passwordless autentizaci PassKey.
Single Sign On a federalizovaná autentizace
Detailně bude rozebrána problematika Single Sign On v interním prostředí organizace a protokoly LDAP, Kerberos a SAML2. Bude diskutována problematika federalizované autentizace v prostředí internetu pomocí protokolu OpenID Connect (i ve vazbě na OAuth2) a jeho aplikace v rámci federalizovaného přihlašování. Detailně budou rozebrány role jednotlivých zúčastněných entit, sekvence volání, formáty přenášených dat a formáty souvisejících metadatových souborů. Bude zmíněna také role odvozených protokolů v nově připravované Evropské peněžence digitální identity.
Praktická cvičení
Studenti naprogramují minimální webovou aplikaci, která pro autentizaci využívá některou z technologií WebAuthentication/FIDO2 nebo PassKey.
Studenti nakonfigurují poskytovatele identity podle protokolu OpenID Connect (server Keycloak) a implementují demo aplikaci, která použije federalizovaného protokolu OpenID Connect pro přihlášení uživatele.
Studijní materiály
[1]
[2]
[3]
[4]
[5]
Program
4.12. Marek Misla: Bezpečnost konektivních operací [zrušeno pro nemoc]
Komplexita elektroniky, IT backendů a SW komponent u automobilů stále stoupá
a samotné auto je tak považováno za softwarový produkt.
Smart aplikace informují např. o překročení rychlosti, parkovací
pozici nebo o celkovém stavu vozu, umožní na dálku otevřít vůz apod.
S přibývajícími funkcemi se objevují nové kybernetické hrozby a nové formy útoků.
Pro ochranu bezpečnosti jsou zaváděny nové procesy,
technická opatření a vznikají nové mezinárodní standardy.
11.12. Petr Hofman: Bezpečnost datové sítě
Do IT infrastruktury patří síťové prostředky, jejichž bezpečnost má velmi vysokou prioritu. Firewall je
jeden ze základních stavebních kamenů zajištění této bezpečnosti.
Na přednášce se dozvíte o vývoji a typech firewallu až po NextGen FW.
Zmíněny budou současné trendy a další bezpečnostní prvky a funkce (např. IDS/IPS,
WAF, SSL inspection, DLP, … ). To vše doplněno o pohled z praxe - jaké výzvy
a problémy řeší firewall admin ve firmě.
18.12. Vánoční volno
8.1. Filip Štěrba: Bezpečný vývoj aplikací
Bezpečnost je nedílnou
součástí všech procesů, včetně vývoje aplikací. Co by vás asi nenapadlo je, jak lehce lze aplikaci ovládnout a manipulovat s ní, aniž by jste o tom věděli.
Jakými způsoby se snažíme zabezpečit aplikace, aby nebyly hrozbou jak pro samotnou
firmu, tak pro její zákazníky?
Na přednáškovém workshopu se společně podíváme nejen na nejběžnější mapované
zranitelnosti, projdeme i procesy bezpečnostního testování a kontrolu kvality
zdrojového kódu. Představíme roli etických hackerů, probereme analýzu rizik a mnohé
další.
