Sicherheit
Versionierung
Jeder Microservice wird versioniert. Bei Problemen kann einfach zwischen und sehr schnell zwischen Versionen gewechselt werden.
Tests
Für jeden Microservice existieren eine Reihe von automatisierten Tests welche vor Bereitstellung durchlaufen werden müssen.
Anfragen
Jede Anfrage an p-Flex muss mittels eines kurzlebigen JSON - Webtoken (JWT) erfolgen. Die Microservices prüfen bei jedem Schritt die Berechtigungen und Valididät des Tokens.
Write-Only Zugangsdaten
Zugangsdaten wie spezifische Tokens, Passwörter für Services etc. sind write-only. Konkret: Berechtigte Benutzer können sensitive Daten zwar (über)schreiben werden dem Benutzer selbst aber niemals direkt zurückgegeben.
Anmeldung / Authentifizierung
pFlex nutzt keine herkömmliche Datenbank für das Speichern und Authentifizieren von Benutzern sondern durchgehend Oauth 2.0 bzw. die dafür vorgesehende Infrastruktur von Firebase.
Die Authentifzierung ist damit erzwungenermassen immer auf dem technisch aktuellsten und sichersten Stand.
Warnung
Selbstverständlich schützt auch eine technisch hochstehende und ausgeklügelte Authentifizierung nicht vor (zu) einfachen oder leicht zu erratenden Passwörtern. Wir empfehlen Passwörter mit einer Mindestlänge von 10 Stellen welche sonst in keinem Service verwendet werden.
Anmeldung ohne Passwort / Oauth Provider
pFlex bietet die Möglichkeit, sich ohne Passwort anzumelden bzw. die Authentifizierung über einen anderen Provider durchzuführen.
Folgende Anbieter stehen zurzeit zur Verfügung:
| # | Provider | Account |
|---|---|---|
 | Google-Account | |
 | Microsoft | Microsoft-ID |
 | Apple | Apple-ID |
 | Github | Github-Account |
Hinweis: Apple bietet die Möglichkeit die Emailadresse zu verbergen. Die Möglichkeit Apps und Diensten von pFlex freizugeben wird damit erschwert. Wir empfehlen diese Option nicht zu verwenden.
Ablauf
Vereinfacht ausgedrückt funktioniert der Ablauf bei Anmeldung mittels Provider dabei wie folgt:
- Der Benutzer klickt bei der Anmeldung auf pFlex auf den gewünschten Anbieter
- pFlex leitet den Benutzer zum entsprechenden Anbieter weiter
- Der Anbieter prüft die Authentifzierung des Benutzers
- Der Anbieter informiert pFlex ob der Benutzer die entsprechenden Berechtigungen für den Account verfügt.
Tips
Es ist auch möglich verschiedene Login-Varianten zu nutzen. pFlex führt die Benutzer mit derselben Emailadresse automatisch zusammen (d.h. der Benutzer landet immer im "gleichen" Account)