Webb­säkerhet

Vad är webb-säkerhet?

Webb-säkerhet handlar om att skydda webbplatser, API:er och användares data mot obehörig åtkomst, manipulation och förstörelse.

• 🌐Nästan allt sker via webben idag — banker, sjukvård, sociala medier
• 💸Dataintrång kan kosta företag miljarder kronor
• 👤Användarnas personliga data och lösenord kan stjälas
• ⚖️GDPR kräver att personuppgifter skyddas — annars böter
• 🔑Säkerhet är inte ett tillägg — det måste byggas in från start

XSS – Cross-Site Scripting Hög risk

XSS låter en angripare injicera skadlig JavaScript-kod i en webbsida som sedan körs i offrets webbläsare.

// Sätter in användarens text direkt
div.innerHTML = userInput;

// Angriparen skriver in:
<script>stealCookies()</script>

// Använd textContent istället
div.textContent = userInput;

// Eller escapa HTML-tecken
input = input.replace(/</g, "&lt;");

XSS – tre typer

SQL Injection Hög risk

Angriparen skickar SQL-kod som input och manipulerar databasförfrågningar.

-- Sårbar Python-kod:
query = "SELECT * FROM users WHERE email='" + email + "'"

-- Angriparen skriver in som email:
' OR '1'='1

-- Resulterar i:
SELECT * FROM users WHERE email='' OR '1'='1'
-- → returnerar ALLA användare!

-- Säker lösning — parametriserade queries:
cursor.execute("SELECT * FROM users WHERE email=?", (email,))

CSRF – Cross-Site Request Forgery Hög risk

Angriparen lurar en inloggad användare att omedvetet skicka en skadlig förfrågan till en webbplats.

• 1️⃣Användaren är inloggad på sin bank (har en aktiv cookie)
• 2️⃣Angriparen skickar ett mejl med en länk: bank.se/transfer?to=hacker&amount=10000
• 3️⃣Användaren klickar — webbläsaren skickar cookie automatiskt
• 4️⃣Banken tror det är en legitim förfrågan och genomför överföringen

HTTPS & TLS 🔐

HTTPS krypterar all kommunikation mellan webbläsare och server med TLS (Transport Layer Security).

• 📜TLS använder certifikat utfärdade av betrodda CA:er (Certificate Authorities)
• 🆓Let's Encrypt erbjuder gratis TLS-certifikat
• 🔒HSTS-header tvingar alltid HTTPS även om användaren skriver http://

Lösenord & Hashing 🔑

Lösenord ska ALDRIG sparas i klartext. Använd alltid en säker hashfunktion.

## Python — bcrypt för lösenordshashing
import bcrypt

# Hasha lösenordet innan lagring
hashed = bcrypt.hashpw(password.encode(), bcrypt.gensalt())

# Verifiera vid inloggning
bcrypt.checkpw(input_pw.encode(), hashed)  # True/False

# SHA-256 räcker INTE för lösenord — för snabb!
hashlib.sha256(password.encode()).hexdigest()  # OSÄKERT

Säker autentisering

• 🔢MFA / 2FA — kräv en extra kod (SMS, app) utöver lösenordet
• ⏳Rate limiting — blockera efter för många misslyckade inloggningsförsök
• 🕐Session timeout — logga ut inaktiva användare automatiskt
• 🔏Starka lösenord — kräv minst 12 tecken, mix av typer
• 🔄Lösenordshanterare — uppmuntra användning av t.ex. Bitwarden
• 🚫Avslöja inte om email eller lösenord var fel — säg bara "felaktiga uppgifter"

Cookies & Sessions 🍪

Cookies används för att hålla användaren inloggad. De måste skyddas noggrant.

// Sätt cookie med alla säkerhetsflaggor
res.cookie("session_id", token, {
  httpOnly: true,    // kan ej läsas av JS
  secure:   true,    // bara över HTTPS
  sameSite: "Strict", // skyddar mot CSRF
  maxAge:   3600000  // löper ut efter 1h
});

• 🔴HttpOnly — förhindrar att JS läser cookien (skyddar mot XSS)
• 🔐Secure — skickar bara via HTTPS
• 🛡️SameSite=Strict — skyddar mot CSRF-attacker

CORS – Cross-Origin Resource Sharing

Webbläsare blockerar som standard förfrågningar till andra domäner. CORS-headers bestämmer vad som är tillåtet.

# Tillåter ALLA origins — OSÄKERT i produktion!
Access-Control-Allow-Origin: *

# Tillåt bara specifik domän — SÄKERT
Access-Control-Allow-Origin: https://minapp.se
Access-Control-Allow-Methods: GET, POST
Access-Control-Allow-Headers: Content-Type, Authorization

Brute Force & Credential Stuffing Medel risk

Angriparen provar automatiskt tusentals lösenord tills rätt hittas.

Clickjacking Medel risk

Angriparen lägger din webbplats i en osynlig <iframe> ovanpå en annan sida. Användaren tror sig klicka på en knapp men klickar egentligen på din sida.

<iframe src="https://dinbank.se" style="opacity:0"></iframe>
<button>Klicka för gratis present! 🎁</button>

/* Skydd — HTTP-header som förbjuder inbäddning */
X-Frame-Options: DENY
/* Eller den modernare varianten: */
Content-Security-Policy: frame-ancestors 'none'

DDoS – Distributed Denial of Service Hög risk

Angriparen skickar enorma mängder trafik från tusentals datorer (botnät) för att krascha servern.

Säkra HTTP-headers 📋

Rätt HTTP-headers skyddar automatiskt mot flera attacker.

# Viktiga säkerhetsheaders att alltid sätta:

Strict-Transport-Security: max-age=31536000  # HSTS
X-Content-Type-Options: nosniff              # ingen MIME-sniffing
X-Frame-Options: DENY                        # skyddar mot clickjacking
Referrer-Policy: strict-origin              # begränsar referrer-info
Permissions-Policy: camera=(), mic=()       # inaktivera APIs
Content-Security-Policy: default-src 'self' # skyddar mot XSS

Content Security Policy (CSP) 🛡️

CSP är ett kraftfullt verktyg som talar om för webbläsaren exakt var skript, bilder och stilar får laddas ifrån.

# Strikt CSP — tillåt bara egna resurser
Content-Security-Policy:
  default-src 'self';
  script-src 'self' https://cdn.exempel.se;
  style-src  'self' 'unsafe-inline';
  img-src    'self' data: https:;
  frame-ancestors 'none';

# Detta blockerar XSS-attacker även om
# angriparen lyckas injicera <script>-taggar!

Input-validering & Sanitering

Lita aldrig på data från användaren. Validera och sanera all input — både på klienten och servern.

## Python — validering av email och ålder
import re

def validate_email(email):
    pattern = r'^[a-zA-Z0-9_.+-]+@[a-zA-Z0-9-]+\.[a-zA-Z0-9-.]+$'
    return bool(re.match(pattern, email))

def validate_age(age):
    return isinstance(age, int) and 0 <= age <= 150

# Sanitera HTML-input (ta bort farliga taggar)
import bleach
clean = bleach.clean(user_html, tags=['b', 'i', 'p'])

OWASP Top 10 – 2021

OWASP (Open Web Application Security Project) listar de 10 allvarligaste webb-sårbarheterna.

Säkerhets-checklista ✅

• ✅Använd alltid HTTPS med ett giltigt TLS-certifikat
• ✅Hasha lösenord med bcrypt eller Argon2 — aldrig MD5/SHA1
• ✅Validera och sanera all användar-input på serversidan
• ✅Använd parametriserade queries för all databaskommunikation
• ✅Sätt rätt säkerhetsheaders (CSP, HSTS, X-Frame-Options…)
• ✅Håll alla beroenden uppdaterade — kör npm audit / pip check
• ✅Aktivera MFA för alla administratörskonton
• ✅Logga säkerhetshändelser och sätt upp larm vid misstänkt aktivitet

Sammanfattning

Webb-säkerhet är inte en engångsgrej — det är en kontinuerlig process.