JEP 290 Policies

Unsichere Deserialisierung stellt momentan ein Haupteinfallstor zur Kompromittierung von Java-Applikationen dar. Mit der Implementierung von JEP 290 bietet Java die Möglichkeit, serialisierte Daten vor der eigentlichen Deserialisierung zu filtern. Diese Möglichkeit wird jedoch nur von wenigen Entwicklern aktiv verwendet.

Dieser Vortrag illustriert die Problematik von Java-Deserialisierung zunächst an einem praktischen Beispiel und bietet im Anschluss eine Übersicht über die von Java bereitgestellten Filtermöglichkeiten. Zudem werden Hinweise auf potenzielle Fallstricke gegeben, die bei der Erstellung einer solchen Filterpolicy auftreten können.

Vorkenntnisse

Die Besucher sollten über Grundkenntnisse in den Bereichen Java und Datenserialisierung verfügen.

Lernziele

Teilnehmer sollten nach dem Vortrag Beischeid wissen über die Filtermöglichkeiten, die von Java zur Absicherung gegen entsprechende Angriffe bereitgestellt werden.