Java User Group Saarland (JUGSaar)

Wir hoffen, ihr seid gut und gesund ins neue Jahr gekommen! Wir freuen euch, wieder ein spannendes Vortragsprogramm bieten zu können. Diesmal wird uns Thomas Darimont in seinem Vortrag “Modern OAuth for Java Developers” die Neuerungen aus OAuth 2.1 vorstellen und wie man mit Standards wie FAPI die Interoperabilität zwischen System in einer föderierten Digital Identity Landschaften gewährleisten kann. In dem Vortrag lernen wir einen grundlegenden Überblick über das aktuelle OAuth Ökosystem und wie man Java Anwendungen so konfigurieren kann, dass sie den neuesten Standards entsprechen.

Wir freuen uns auf euren Besuch!

Talk & Slides will be in english.

/Abstract:DE
// english version below:
Standards wie OAuth 2.0 und OpenID Connect 1.0 sind ein zentraler Bestandteil für eine sichere Authentifizierung und Autorisierung im Internet. Durch veraltete Praktiken und subtile Fehlkonfigurationen sind jedoch viele Implementierungen anfällig für Angriffe. Das liegt oft an der Komplexität und den Risiken immer komplexerer Anwendungsfälle, wie Finanz-APIs, Social Media Plattformen mit Identitätsprüfungen und heterogenen App-Ökosystemen.
Die OAuth Working Group und die OpenID Foundation haben mit OAuth 2.1 und FAPI einen neuen Rahmen geschaffen der sicherere Ansätze fördert und unsichere Mechanismen wie den Implicit Grant ablehnen und neue Bedrohungen wie IdP Mix-Up-Angriffe adressieren, sowie interoperabilität in einer föderierten Identity infrastruktur garantieren.
Dieser Vortrag stellt den OAuth 2.1 Standard vor und zeigt die wichtigsten Sicherheits-Updates aus dem OAuth Security BCP (Best Current Practice) und erklärt, wie diese die Sicherheit von OAuth-Implementierungen verbessern. Darüber hinaus bieten wir einen Überblick zu FAPI und praktische Empfehlungen für robuste und moderne OAuth-Lösungen und zeigen auf, wie diese in modernen Java Anwendungen genutzt werden können.

/Abstract:EN
Standards such as OAuth 2.0 and OpenID Connect 1.0 are central components for secure authentication and authorisation on the internet. However, outdated practices and subtle misconfigurations make many implementations vulnerable to attacks. This is often due to the complexity and risks of increasingly complex use cases, such as financial APIs, social media platforms with identity checks and heterogeneous app ecosystems.
The OAuth Working Group and the OpenID Foundation have created a new framework with OAuth 2.1 and FAPI that promotes more secure approaches, rejects insecure mechanisms such as the implicit grant, addresses new threats such as IdP mix-up attacks, and guarantees interoperability in a federated identity infrastructure.
This presentation introduces the OAuth 2.1 standard and highlights the most important security updates from the OAuth Security BCP (Best Current Practice) and explains how these updates improve the security of OAuth implementations. In addition, we provide an overview of FAPI and practical recommendations for robust and modern OAuth solutions and show how they can be used in modern Java applications.

/Bio
Thomas Darimont works as a Digital Identity Consultant / Managing Director at his company Identity Tailor GmbH in Saarbrücken, where he helps customers with the implementation of modern digital identity management systems. Thomas is also part of the Conformance Testing team at the OpenID Foundation and an official Maintainer of the Keycloak OSS project.
In his spare time, he enjoys organising community meetups and working on open source projects such as Keycloak, Chicory and Extism and contributes to internet standards in various Working Groups. Thomas has been a consistent contributor for over ten years and has been an official maintainer in the Keycloak project since 2021.

Im Februar dürfen wir euch wieder zu einem spannenden Vortrag begrüßen. Diesmal geht es um das Thema Software Modernisierung, dabei stehen automatisierte Refactorings, also Überarbeitungen des Codes, ohne Invarianten zu verletzen. Refactoring wird von vielen Entwicklern häufig als notwendig, aber auch mühselig angesehen und mit niedriger Priorität behandelt. Moderne Werkzeuge wie Open Rewrite können hierbei jedoch unterstützen, indem der vorhandene Quellcode automatisch auf Basis von bewährten “Kochrezepten” aus der Entwickler-Community modernisiert werden kann. Wie das geht erklärt uns der erfahrene Softwareentwickler und Architekt Merlin Bögershausen, der bei Kunden, Entwicklerkonferenzen und Community-Meetups sehr aktiv im Bereich Software Modernisierung mit Open Rewrite unterwegs ist.

Wir freuen uns auf einen spannenden Abend!

Talk and slides will be in english.

/Abstract:DE
German, english version below.

In den letzten Jahren hat sich die Entwicklung im Java-Ökosystem beschleunigt. Ob Java SE, Jakarta EE oder Spring Boot – die Veröffentlichungen und “End-of-Life”-Meldungen jagen sich gegenseitig. Die Anzahl der notwendigen Software-Migrationen explodiert und der Druck, neue Funktionen zu entwickeln, lässt nicht nach.

Mit dem Open-Source-Tool OpenRewrite können Migrationen automatisiert und skalierbar auf Projekte angewendet werden. Die große und wachsende Anzahl vorgefertigter Migrationen bietet Lösungen für viele Situationen. Zusätzliche Anforderungen können dank der Konfiguration und Kombinierbarkeit bestehender Migrationen schnell umgesetzt werden. Komplexere Anpassungen sind dank der direkten Integration von Refaster-Vorlagen einfach zu implementieren.

In diesem Vortrag geben wir einen Überblick zu OpenRewrite und erläutern die Integration in bestehende Projekte. Außerdem werden die Grundlagen der testgetriebenen Entwicklung von Migrationen behandelt. Die Teilnehmer dieses Vortrags lernen die Grundlagen von OpenRewrite kennen und erhalten wertvolle Tipps für den produktiven Einsatz.

/Abstract:EN

In recent years, development in the Java ecosystem has accelerated. Whether Java SE, Jakarta EE or Spring Boot - the releases and end-of-support messages are chasing each other. The number of necessary migrations is exploding and the feature pressure is not letting up.

With the open source tool OpenRewrite, migrations can be applied to projects in an automated and scalable way. The large and growing number of ready-made migrations offers solutions for many situations. Additional requirements can be implemented quickly thanks to the configuration and combinability of existing migrations. More complex adaptations are easy to implement thanks to the direct integration of Refaster templates.

This session covers the range of functions and the integration of OpenRewrite into existing projects. The basics of test-driven development of migrations will also be covered. Participants in this session will learn the basics of OpenRewrite and receive valuable tips for regular use.

/Bio
Merlin is a Software Engineer, Architect and Oracle ACE with over 10 years of experience in different domains and languages. His main focus is Java Enterprise Applications with modern and Next-Generation Java. As a Migration Engineer, he helps teams and individuals utilize new features and supports them in migrating. Besides developing, speaking at conferences and his parental role, he tries to participate in community events, teach folk to land gliders (yes, I am a Flight Instructor!) and play volleyball.

Im März dürfen wir euch ein ganz besonderes Highlight aus der Kategorie “Über den Tellerrand” präsentieren:
Die Macher von Project Lombok Roel Spilker und Reinier Zwitserloot kommen uns wieder
im Rahmen ihrer JUG Tour besuchen und präsentieren ihren neuesten Vortrag " XZ: The day the internet (almost) died". Diesmal geht es nicht primär um Java, sondern um Software Sicherheit allgemein, und speziell um die Sicherheit bei der Erstellung von Software, welche Angriffsmöglichkeiten auf die Software Supply Chain es gibt und wie man sich davor schützen kann.

Anschließend stehen die Java Experten für eine Ask-Me-Anything (AMA) Session bereit.

Der Vortrag sowie die AMA Session werden in englischer Sprache gehalten. Diesmal findet das Treffen an einem Montag statt, da die Lombok Guys ihre JUG Tour mit uns starten wollen :)

Talk & slides will be in english.

Wir freuen uns auf einen schönen gemeinsamen Abend!

/Abstract
A curious blip in a timing test made Andres Freund (a PostgreSQL developer) raise an eyebrow and investigate. Little did he know he would uncover one of the most elaborate hacking attempts known to date using an open source project.
A team of Russian hackers had been working for over a year on infiltrating an open source project called XZ utils (also known as LZMA utils). They came eerily close to having a compromised version shipped as part of the ‘stable’ releases of various linux distributions, including debian. You know: The stuff that 90% of the internet runs on. It would have allowed the hackers to log in as root to virtually all machines running linux and having ssh open, anywhere on the planet.
This talk is for the programmers. We’ll show you exactly how the hackers compromised XZ, and which James Bond-like shenanigans they used to mislead the maintainer. Can you spot the error in a pull request that was put there intentionally to disable a security feature? Do you know how one sneaks a binary executable into a project build, when linux maintainers ordinarily demand all can be built from source?
As maintainers of Lombok, we'll also give some advice to those who maintain or rely on open source software.
WARNING: You will leave the room in awe of the games the attackers played. You will be scared witless too; how close we came to disaster and how none of the current safety measures that aim to prevent supply side attacks would have been able to stop this attack.

/Bio
Reinier Zwitserloot is co-founder and development lead at Zorg op Orde,
helping general practitioners, bridging the gap between medical researchers and the
waiting room. Together with Roel Spilker he is the inventor of Project Lombok, a
compiler/IDE plugin to bring the java programming language into the next
decennium.
Roel Spilker is a technology evangelist at TOPdesk. He's been a professional
java programmer and teacher since 1999. Roel has been a fan of compile-time
checking. Together with Reinier Zwitserloot he is the inventor of Project
Lombok, a compiler/IDE plugin to bring the java programming language into
the next decennium.