Sicherheits-Guides für Entwickler

Sicherheit scheitert meist im Detail: ein wiederverwendeter Nonce, ein Hash, der nie für Passwörter gedacht war, ein Schlüssel neben dem Code. Diese Guides zeigen die Entscheidungen, auf die es ankommt.

Die Guides gliedern sich in vier Gruppen. Hashing behandelt SHA-256 und SHA-512 als Integritätsprimitive: Prüfsummen für ein heruntergeladenes ISO-Abbild, für ein CI-Artefakt, für ein Backup vor der Wiederherstellung — und warum eine schnelle Hashfunktion die falsche Wahl für Passwörter ist. Bei der Passwortspeicherung stehen bcrypt, scrypt und Argon2 mit ihren Kostenparametern und ihrer Speicherhärte im Vordergrund, nicht die Benchmark-Geschwindigkeit. Um Schlüsselmaterial geht es beim Erzeugen von Passwörtern mit ausreichender Entropie, bei PBKDF2, wenn ein Schlüssel aus einer Passphrase abgeleitet werden muss, und bei HMAC, wenn eine API-Anfrage überprüfbar bleiben soll.

Bei der Authentifizierung zählen die Fehlerbilder, die man tatsächlich debuggt: eine Signatur, die fehlschlägt, weil ein Header in der kanonischen Zeichenkette fehlte, ein Token, das wegen einer falsch gestellten Client-Uhr zu früh abläuft, ein Zertifikat, dessen Ablaufdatum in einer PEM-Datei zu finden ist. Jeder Guide endet bei einem Werkzeug im bereits geöffneten Browser-Tab — eine Datei ohne Upload hashen, ein Zertifikat auslesen, eine Signatur prüfen, ohne die Nutzlast irgendwohin zu senden.