Security

Nebu: Self-made Souveränität

Open-Source-Alternativen zu Slack gibt es viele. Echte Souveränität liefert keine davon. Community Editions sind bewusst so reduziert, dass kein Unternehmen sie produktiv einsetzen kann, und Enterprise-Features stecken hinter kommerziellen Lizenzen. Dieser Artikel zeigt, warum „selber bauen” heute keine Utopie mehr ist, sondern eine realistische Option für jeden, der eine Produktvision und etwas Do-it-yourself-Mut mitbringt.

Neuland reloaded

When Angela Merkel said in 2013 that the internet is ‘Neuland’ (uncharted territory) for all of us, the amusement online was considerable. Viewed from some temporal and substantive distance, one can now recognize a perspective from which she was indeed correct.

Governance-Methodik für digitale Souveränität

In einer zunehmend vernetzten Welt, in der digitale Infrastrukturen das Rückgrat unserer Wirtschaft und Gesellschaft bilden, rückt das Thema der digitalen Souveränität immer stärker in den Fokus. Für Entscheider:innen im deutschsprachigen Raum geht es dabei um weit mehr als die reine Auswahl von Cloud-Anbietern. Es geht um strategische Handlungsfähigkeit, Resilienz und die Fähigkeit, die eigene digitale Zukunft aktiv zu gestalten. Dieser Artikel beleuchtet, wie eine robuste Governance-Methodik Unternehmen dabei unterstützen kann, digitale Souveränität nicht nur zu verstehen, sondern auch praktisch umzusetzen – ohne dabei Komfort oder Innovationskraft einzubüßen.

Updating OWASP’s Microservice Security Cheat Sheet: Decision Dimensions for Authorization Patterns

Choosing the right patterns is critical, as it directly impacts the system’s security posture, performance, scalability, and maintainability.

What’s Wrong with the Current OWASP Microservice Security Cheat Sheet?

Modern microservice architectures require evolving security practices. Yet popular resources like the OWASP Microservice Security Cheat Sheet are starting to show their age and need a fresh look.

CIO-Fragestellungen zur digitalen Souveränität

Was passiert, wenn europäische Unternehmen morgen keine US-Cloud-Dienste mehr nutzen dürfen – oder sie sich diese schlicht nicht mehr leisten können? IT-Verantwortliche brauchen Antworten – nicht auf Basis von Bauchgefühl, sondern faktenbasiert. In diesem Beitrag geht es darum, mögliche Risiken in der Nutzung US-amerikanischer Cloud-Services zu beleuchten und zu identifizieren, wie Methoden der Enterprise Architektur dabei helfen können, diese zu meistern.

Kubernetes sicher und transparent – Erste Schritte mit Cilium

Cilium bringt Observability-, Security- und Netzwerkfeatures für Kubernetes – dank eBPF ganz ohne den eigentlichen Anwendungscode zu ändern. In dieser Artikelreihe lernen wir, wie wir ein lokales Cilium-Setup aufsetzen, wie Cilium funktioniert und in weiteren Teilen auch, eigene Netzwerkregeln durchzusetzen und sie in Echtzeit zu überwachen. Starte deinen lokalen Cluster und werde zum Kubernetes-Jedi-Meister - oder folge der dunklen Seite der Macht.

Beyond the hype: An engineer’s journey into ReBAC and AI with the Model Context Protocol

In this article, I share my experiences on my journey into the AI world. During this journey, we’ll build our own Model Context Protocol (MCP) Server using C Sharp, learn about access management with relationship based access control (ReBAC) on the way, and in the end I’ll provide my thoughts on the current state of AI and MCP, focusing on security and UX.

Social Engineering ist durchgespielt

Der Angriff auf die Kompressionsbibliothek xz hat gezeigt, wie fragil die digitale Infrastruktur ist, die die moderne Welt am Laufen hält. In dieser Kolumne soll betrachtet werden, wie die sozialen Mechanismen Vertrauen und Misstrauen in diesem Zusammenhang wirken.

Machine Learning Security – Teil 1

Machine Learning kommt immer mehr in sensiblen Entscheidungssystemen zum Einsatz. Dies bringt nicht nur neue Möglichkeiten, sondern auch neue Schwachstellen mit sich, die gezielt von Angriffen ausgenutzt werden können. In Teil 1 dieses Artikels navigieren wir uns Stück für Stück durch die ML Security Taxonomie und nehmen die Perspektive des Angriffs ein.

Ganz sichere Verbindungen

String-Vergleich gegen Timing-Angriffe härten

Der String-Vergleich über die Methode String#equals in Java ist anfällig für Timing-Angriffe. Der oft empfohlene Lösungsansatz ist schwierig korrekt zu implementieren. Aber selbst eine korrekte Implementierung kann bei der Ausführung noch für Timing-Angriffe anfällig sein. Die hier vorgestellte Methode schließt diese Probleme prinzipiell aus.

A Playground for Testing OpenID Connect

This post describes how you can set up a development environment in order to play around with your OpenID client implementation. When running your application in a cluster, it can be difficult to test how it will behave behind a load balancer. One factor that can be particularly difficult to test is when you are communicating with an OAuth 2.0 or OpenID Connect server which expects that a request will be redirected back to the same application instance that it came from.

Have YOU been pwned?

With the V2 release of the „pwned passwords” database came a new feature called range search, which allows to securely check passwords with only minor efforts. Here’s how to use it.

Content Security Policy

Cross-Site-Scripting ist seit Jahren eines der Security Probleme im Web. Neben anderen sicherheitsrelevanten HTTP-Headern gibt es seit geraumer Zeit auch die Möglichkeit, dem Browser eine „Content Security Policy” mitzuteilen. Dieser Blogpost erklärt deren Zweck und Einsatz.