SPA's en Blazor-applicaties beveiligen met het BFF-patroon (Backend for Frontend) Securing SPAs and Blazor Applications using the BFF (Backend for Frontend) Pattern

Moderne webontwikkeling betekent dat steeds meer applicatiecode in de browser draait. Traditioneel was dat JavaScript, maar de laatste tijd is er een trend om C#/WASM met Blazor te gebruiken. Deze moderne applicaties hebben doorgaans ook authenticatie en single sign-on nodig, plus beveiliging op basis van tokens om API's aan te roepen – met andere woorden OpenID Connect en OAuth 2. Er zijn verschillende patronen om zulke applicaties te beveiligen, en deze sessie behandelt een aantal valkuilen van de verschillende aanpakken, zeker gezien het steeds veranderende browserlandschap. We sluiten af met het "backend for frontend"-patroon (of BFF), dat van deze aanpakken de veiligste en stabielste is geworden. 0:00 Welkom 5:58 Introductie 9:30 Cookies en CSRF 20:54 Tokens, uitdagingen, XSS 36:00 Veranderingen in browsers en andere problemen 53:08 Het Backend for Frontend-patroon 59:43 Een BFF bouwen met ASP.NET Core 1:11:16 Twee soorten API's 1:24:45 Beheer van de levensduur van tokens 1:31:40 YARP 1:36:33 Afronding Spreker: Dominick Baier Dominick heeft het grootste deel van zijn loopbaan besteed aan het implementeren van beveiligingssystemen voor zijn klanten en het lezen van protocolspecificaties. Dat leverde een aantal populaire open-sourceprojecten op, zoals IdentityServer en IdentityModel. Sinds 2020 leidt hij Duende Software Inc samen met zijn oude vriend en collega Brock Allen. Duende biedt een duurzaam thuis voor het IdentityServer-project en is de one-stop-shop voor alles rond OpenID Connect en OAuth voor bedrijven die met .NET werken. Twitter: @leastprivilege Website: https://duendesoftware.com

Modern web development means that more and more application code is running in the browser. Traditionally this has been JavaScript but more recently there has been the trend to use C#/WASM with Blazor. These modern applications typically also need authentication and single-sign-on as well as token-based security for calling APIs – in other words OpenID Connect and OAuth 2. There are different patterns for securing such applications and this session covers some of the pitfalls of the various approaches, especially given the ever-changing browser landscape. We will conclude with the “backend for frontend” (or BFF) pattern which has become the most secure and stable of these approaches. 0:00 Welcome 5:58 Introduction 9:30 Cookies and CSRF 20:54 Tokens, challenges, XSS 36:00 Browser changes and other problems 53:08 Backend for Frontend Pattern 59:43 Building a BFF with ASP.NET Core 1:11:16 Two types of APIs 1:24:45 Token lifetime management 1:31:40 YARP 1:36:33 Wrapping up Speaker: Dominick Baier Dominick spent most of his professional career implementing security systems for his customers and reading protocol specifications. This resulted in a number of popular open-source projects like IdentityServer and IdentityModel. Since 2020 he runs Duende Software Inc together with his longtime friend and colleague Brock Allen. Duende provides a sustainable home for the IdentityServer project and is the one-stop-shop for all things OpenID Connect and OAuth for .NET-based companies. Twitter: @leastprivilege Website: https://duendesoftware.com