Einführung in Spring Boot Spring Security

Sicherheit ist ein vorrangiges Anliegen bei der Entwicklung robuster und zuverlässiger Anwendungen. Spring Security ist laut spring.io, der führenden Autorität für Spring Boot, der De-facto-Standard zur Sicherung von Spring-basierten Anwendungen. Spring Security ist eine Kennwortverwaltungssoftware, die Authentifizierung, Autorisierung und andere Sicherheitsfunktionen in Spring-basierten Anwendungen erleichtert. Dieser Artikel untersucht die Integration von Spring Security mit Keycloak, einer Sicherheitslösung eines Drittanbieters, um Authentifizierung, Autorisierung und zusätzliche Sicherheitsmaßnahmen in einer Spring-Anwendung zu implementieren. Wir behandeln Themen wie JWT und OAuth 2 zur Authentifizierung, Kennwortspeicherung, Servlet-Filter, HTTPS, Schutz vor Cross-Site-Request-Forgery (CSRF) und Multi-Tenancy.

Authentifizierung und Autorisierung mit Spring Security

Bei der Authentifizierung handelt es sich um den Vorgang der Benutzerüberprüfung. Dabei wird beispielsweise durch einen Benutzernamen und ein Kennwort überprüft, dass der Benutzer die Person ist, für die er sich ausgibt. Oft wird auch eine zweite Sicherheitsmethode wie eine SMS, E-Mail oder ein Telefonanruf mit einem Einmalkennwort eingesetzt.

Bei der Authentifizierung hingegen handelt es sich um die Erteilung der Autorität an eine Einzelperson, um ihr Privilegien zum Ausführen bestimmter Aktionen zu gewähren.

Authentifizierung und Autorisierung sind ein wichtiger Bestandteil jedes Systems und eine Voraussetzung für die Benutzerfreundlichkeit und ein gutes Benutzererlebnis.

Authentifizierung mittels JSON Web Token io:

Spring Security bietet einen umfassenden Satz von Tools zur Authentifizierung von Benutzern. Nach der Installation von Spring Security ist standardmäßig für alle Endpunkte eine Authentifizierung erforderlich. Dieses Standardverhalten kann deaktiviert werden, um offene Endpunkte zuzulassen. Es unterstützt verschiedene Authentifizierungsmechanismen, darunter formularbasierte Authentifizierung, HTTP-Basisauthentifizierung und mehr.

Um die Sicherheit zu erhöhen, sollten Sie zur Authentifizierung ein JSON-Web-Token (JWT) verwenden. Web-JWT ist ein kompaktes, URL-sicheres Mittel zur Darstellung von Ansprüchen zwischen zwei Parteien, und Spring Security unterstützt JWT als Tokenformat zur Authentifizierung. Die Verwendung von JWT zur Authentifizierung bietet folgende Vorteile:

- Zustandslose Authentifizierung:JWT ermöglicht eine zustandslose Authentifizierung, was bedeutet, dass der Server keine Sitzungsinformationen speichern muss. Dies reduziert die Belastung des Servers und kann die Skalierbarkeit verbessern, da es Lastenausgleich und redundante Anwendungsserver ermöglicht, die keine Kenntnis des Status erfordern.

- Sicherheit:

JWTs können digital signiert werden und bieten so eine sichere Möglichkeit zur Informationsübermittlung zwischen Parteien. Dadurch wird die Integrität und Authentizität der übermittelten Daten sichergestellt. - Flexibilität:

JWTs können benutzerdefinierte Ansprüche tragen und sind vielseitig bei der Darstellung von Benutzerinformationen. Diese Flexibilität ermöglicht die Aufnahme zusätzlicher benutzerbezogener Daten in das Token.

- Interoperabilität:JWTs werden umfassend unterstützt und können plattform- und technologieübergreifend eingesetzt werden, was sie zu einer vielseitigen Wahl für die Authentifizierung in verteilten Systemen macht.

- Leistung:Aufgrund ihrer kompakten Natur eignen sich JWTs hervorragend für die Datenübertragung über das Netzwerk und tragen so zu einer verbesserten Leistung bei.

Java-Code:

// Beispielkonfiguration für JWT-Authentifizierung @Configuration public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http .authorizeRequests() .antMatchers("/public/**").permitAll() .anyRequest().authenticated() .and() .oauth2Login() .and() .oauth2ResourceServer() .jwt(); } }

Berechtigung: Die Autorisierung ist unerlässlich, um das beste Benutzererlebnis und die beste Sicherheit zu bieten. Ein gutes Beispiel hierfür ist eine E-Commerce-Site. Die Site kann mehr als eine Sicherheitsstufe haben. Nehmen wir für dieses Beispiel an, es gibt den Käufer und den Administrator, die sich beide anmelden müssen. Der Käufer kann Produktseiten, seinen Einkaufswagen und die Checkout-Seite anzeigen. Der Administrator kann dieselben Seiten wie der Käufer anzeigen, kann aber zusätzlich die Produktdatenbank anzeigen und konfigurieren, um den Lagerbestand festzulegen, Preise anzupassen und Bestellungen anzuzeigen. Beide sind authentifiziert, da sie sich anmelden müssen, aber der Käufer sollte nicht auf die Administratorressourcen zugreifen können, nur weil er authentifiziert ist.

Hier kommt die Autorisierung ins Spiel, um zu definieren, worauf jede Rolle zugreifen darf. Definieren Sie Zugriffskontrollregeln mithilfe der Autorisierungsmechanismen von Spring Security. Geben Sie an, welche Rollen oder Berechtigungen für den Zugriff auf bestimmte Ressourcen erforderlich sind. Dies bietet eine bessere Kontrolle über die Ressourcen als die bloße Implementierung der Authentifizierung.

Java-Code:

// Beispielkonfiguration für rollenbasierte Autorisierung @Configuration public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http .authorizeRequests() .antMatchers("/admin/**").hasRole("ADMIN") .antMatchers("/user/**").hasRole("USER") .anyRequest().authenticated() .and() .formLogin(); } }

Nutzung von Web JWT und OAuth 2 zur Authentifizierung in Spring Boot-Anwendungen.

Web-JWT zur Authentifizierung:

JWT ist ein kompaktes, URL-sicheres Mittel zur Darstellung von Ansprüchen zwischen zwei Parteien. Spring Security unterstützt JWT als Tokenformat zur Authentifizierung. Konfigurieren Sie die erforderlichen Komponenten, um JWT in Ihren Authentifizierungsablauf zu integrieren. Java-Code:

// Beispiel für eine JWT-Token-Konfiguration
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.oauth2Login()
.and()
.oauth2ResourceServer()
.jwt();
}
}

OAuth 2-Authentifizierung:

OAuth 2 oder „Open Authorization“ ist ein offener Standard für die Autorisierung. Es handelt sich um ein Sicherheitsprotokoll, mit dem Benutzer Drittanbieteranwendungen Zugriff auf Ressourcen gewähren können, ohne ihre Anmeldeinformationen oder Identität weitergeben zu müssen. Es gibt mehrere OAuth 2-Anbieter, die Authentifizierungs- und Autorisierungsdienste anbieten. Einige beliebte Beispiele für OAuth 2-Anbieter sind:

Google:

Google bietet OAuth 2 als Teil seiner Identitätsplattform an und ermöglicht es Benutzern, über ihre Google-Konten den Zugriff auf Google-Dienste und Anwendungen von Drittanbietern zu authentifizieren und zu autorisieren.

Facebook:

Facebook stellt Entwicklern OAuth 2 zur Integration in ihre Anwendungen zur Verfügung, sodass Benutzer sich anmelden und Berechtigungen für den Zugriff auf ihre Facebook-Daten erteilen können. GitHub:

GitHub unterstützt OAuth 2 zur Authentifizierung und Autorisierung, sodass Entwickler GitHub-Konten in ihre Anwendungen integrieren und auf Benutzerdaten zugreifen oder Aktionen im Namen von Benutzern ausführen können.

Twitter:

Mithilfe der OAuth 2-API von Twitter können Entwickler Benutzer authentifizieren und auf Twitter-Daten zugreifen, um Anwendungen zu erstellen, die mit der Twitter-Plattform interagieren.

Microsoft Azure Active Directory (AAD):

AAD unterstützt OAuth 2 als Teil seiner Identitäts- und Zugriffsverwaltungsdienste und ermöglicht Authentifizierung und Autorisierung für Microsoft-Dienste und Anwendungen von Drittanbietern.

Amazon Web Services (AWS):

AWS Identity and Access Management (IAM) unterstützt OAuth 2 zur Authentifizierung und Autorisierung innerhalb des AWS-Ökosystems und zur Integration mit externen Anwendungen.

Auth0:Auth0 ist eine Identitätsverwaltungsplattform eines Drittanbieters, die OAuth 2 als Dienst bereitstellt und Authentifizierungs- und Autorisierungsfunktionen für Web-, Mobil- und Einzelseitenanwendungen bietet.

Spring Security, ein Teil des Spring Frameworks, bietet OAuth 2-Unterstützung zum Erstellen sicherer, OAuth-kompatibler Anwendungen. Spring Security OAuth bietet Funktionen sowohl für OAuth 2-Provider- als auch für Client-Implementierungen. Mit Spring Security OAuth können Sie Ihren OAuth 2-Provider innerhalb Ihrer Anwendung erstellen und Authentifizierung und Autorisierung handhaben oder OAuth 2-Provider von Drittanbietern zur Benutzerauthentifizierung und -autorisierung integrieren. Zwar stehen OAuth 2-Anbieter von Drittanbietern zur Verfügung, Spring Security bietet jedoch auch eine robuste Unterstützung für die Implementierung von OAuth 2 in Ihren Spring-basierten Anwendungen und gibt Ihnen die Flexibilität, den Ansatz zu wählen, der Ihren Anforderungen am besten entspricht.

Java-Code: // Beispiel für eine OAuth 2-Konfiguration @Configuration public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http .oauth2Login() .and() .oauth2ResourceServer() .jwt(); } }

Bewährte Methoden zur Passwortspeicherung und -sicherheit

Bester Passwort-Tresor:

Speichern Sie Benutzerkennwörter sicher mit starker Verschlüsselung. Spring Security bietet Funktionen wie Kennwort-Hashing und Salting zur Verbesserung der Kennwortsicherheit. Dies hilft, viele verschiedene Arten von Cyberangriffen zu verhindern.

Java-Code:

// Beispielkonfiguration für Kennwortverschlüsselung @Configuration public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { auth .inMemoryAuthentication() .withUser("user") .password("{bcrypt}$2a$10$yourEncryptedPassword") .roles("USER"); } }

Verbesserung der Sicherheit durch zusätzliche Maßnahmen Spring Boot-Servlet-Filter:

Servlet-Filter sind das, woran Ihre HTTP-Anfrage gesendet wird, bevor sie Ihre Rest-Controller ( @RestControllers) erreicht. Dies sind Prüfungen, die Sie bestehen müssen, bevor Ihr Controller erreicht werden kann. Einige der wichtigsten in Spring Security integrierten Servlet-Filter umfassen beispielsweise: Erstellen einer Standard-Anmelde- und Abmeldeseite, Suchen nach dem Authentifizierungsheader und Authentifizierung des Benutzers. Verwenden Sie die Servlet-Filter von Spring Security, um die Anfrageverarbeitung anzupassen. Implementieren Sie Filter für Aufgaben wie Protokollierung, Überwachung oder benutzerdefinierte Sicherheitsprüfungen.

Spring Security ist standardmäßig mit 15 integrierten Servlet-Filtern ausgestattet. Die Standard-Servlet-Filter können deaktiviert werden, wie z. B. der Standardgenerator für Anmeldeseiten. Wir können benutzerdefinierte Filter verwenden, um eine feinere Autorisierung hinzuzufügen.

Java-Code:

// Beispiel für eine benutzerdefinierte Filterkonfiguration @Bean public Filter customFilter() { return new CustomFilter(); }

HTTPS:

Erzwingen Sie eine sichere Kommunikation, indem Sie Ihre Spring-Anwendung so konfigurieren, dass sie HTTPS verwendet. Dadurch wird sichergestellt, dass die zwischen Client und Server ausgetauschten Daten verschlüsselt bleiben. Die Verwendung von HTTPS ist besonders wichtig, wenn vertrauliche Benutzerdaten wie Benutzernamen, Passwörter, Kontaktinformationen, Bankdaten usw. verarbeitet werden. Alle über das Internet ausgeführten Anwendungen sollten HTTPS verwenden, um die Benutzeranmeldeinformationen zu schützen.

Java-Code:

// Beispiel einer HTTPS-Konfiguration @Configuration public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http .requiresChannel() .anyRequest().requiresSecure(); } }

Cybersicherheit bei Cross-Site Request Forgery (CSRF):

Cross-Site Request Forgery ist eine Sicherheitslücke, bei der ein Angreifer Aktionen ausführt, während er sich als ein anderer Benutzer ausgibt. Der Betrüger kann die E-Mail-Adresse des Opfers ändern, Geld überweisen usw. Die gesamte Anwendung kann kompromittiert werden, wenn der Betrüger als Administrator angemeldet ist.

Schützen Sie sich vor CSRF-Angriffen, indem Sie den CSRF-Schutz von Spring Security aktivieren. Damit Formulare verarbeitet werden können, müssen sie über ein CSRF-Token verfügen, damit die Anfrage eindeutig ist. Dadurch wird verhindert, dass unbefugte Aktionen im Namen eines authentifizierten Benutzers ausgeführt werden, da es für eine andere Site unmöglich ist, die HTTPS-Anfrage zu kopieren.

Java-Code:

// Beispiel für eine CSRF-Cybersicherheitskonfiguration @Configuration public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http .csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()); } }

Integration von Keycloak mit Spring Boot für erweiterte Sicherheitsfunktionen

Keycloak-Integration:

Keycloak ist eine Open-Source-Sicherheitslösung von Drittanbietern, die erweiterte Identitäts- und Zugriffsverwaltungsfunktionen bietet. Dies macht Keycloak nicht nur zu einem guten Passwortmanager, sondern auch zu einem großartigen Tool zur Verwaltung der Autorisierungssicherheit in Spring Boot. Integrieren Sie Keycloak in Ihre Spring-Anwendung für eine zentralisierte Authentifizierung und Autorisierung.

Java-Code:

// Beispiel für eine Keycloak-Konfiguration @Configuration @EnableWebSecurity public class SecurityConfig extends KeycloakWebSecurityConfigurerAdapter { @Autowired public void configureGlobal(AuthenticationManagerBuilder auth) { KeycloakAuthenticationProvider keycloakAuthenticationProvider = keycloakAuthenticationProvider(); auth.authenticationProvider(keycloakAuthenticationProvider); } @Bean public KeycloakConfigResolver keycloakConfigResolver() { return new KeycloakSpringBootConfigResolver(); } }

Implementierung von Multi-Tenancy mit Sicherheit
Mandantenfähigkeit:

Erweitern Sie die Sicherheitsmaßnahmen, um die Mandantenfähigkeit zu unterstützen. Stellen Sie sicher, dass die Daten und der Sicherheitskontext jedes Mandanten isoliert und gut verwaltet werden.

Java-Code:

// Beispiel für eine Multi-Tenancy-Konfiguration public class TenantInterceptor implements HandlerInterceptor { @Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { String tenantId = extractTenantId(request); // Implementierung basierend auf Ihrer Strategie TenantContext.setCurrentTenant(tenantId); return true; } }

Abschluss

Die Integration der Passwortverwaltungstools von Spring Security mit Keycloak verbessert die Sicherheit Ihrer Spring-Anwendung. Indem Sie Authentifizierung, Autorisierung und verschiedene Sicherheitsbedenken wie JWT, OAuth2, das Speichern von Passwörtern, Servlet-Filter, HTTPS, CSRF-Sicherheit und Multi-Tenancy berücksichtigen, können Sie eine robuste und sichere Anwendung erstellen.