فلش‌کارت‌های آموزشی امنیت در میکروسرویس‌ها: JWT و OAuth 2.0

🎓 دوره آموزشی جامع

📚 اطلاعات دوره

عنوان دوره: دوره امنیت در میکروسرویس‌ها: JWT و OAuth 2.0

موضوع کلی: برنامه نویسی

موضوع میانی: میکروسرویس‌ها

📋 سرفصل‌های دوره

• 1. مقدمه‌ای بر معماری میکروسرویس‌ها
• 2. مزایا و چالش‌های معماری میکروسرویس‌ها
• 3. مفاهیم اساسی امنیت سایبری
• 4. تهدیدات رایج در سیستم‌های نرم‌افزاری
• 5. اصول محرمانگی، یکپارچگی و در دسترس بودن (CIA Triad)
• 6. نیاز به امنیت در معماری میکروسرویس‌ها
• 7. نقاط ضعف امنیتی خاص میکروسرویس‌ها
• 8. معرفی احراز هویت (Authentication) در سیستم‌های توزیع‌شده
• 9. معرفی اعتبارسنجی (Authorization) در سیستم‌های توزیع‌شده
• 10. تفاوت بین احراز هویت و اعتبارسنجی
• 11. مدیریت هویت و دسترسی (IAM) در میکروسرویس‌ها
• 12. مقدمه‌ای بر JSON Web Token (JWT)
• 13. ساختار JWT: Header (هدر)
• 14. ساختار JWT: Payload (بار داده)
• 15. ساختار JWT: Signature (امضا)
• 16. نحوه امضای JWT و الگوریتم‌های رایج (HS256, RS256)
• 17. پیاده‌سازی یک JWT ساده (ایجاد و اعتبارسنجی)
• 18. مقایسه JWT با Session-based Authentication
• 19. Claims (ادعاها) در JWT: Registered Claims
• 20. Claims در JWT: Public Claims
• 21. Claims در JWT: Private Claims
• 22. کاربردهای JWT در احراز هویت (Authentication)
• 23. کاربردهای JWT در اعتبارسنجی (Authorization)
• 24. استفاده از JWT برای Single Sign-On (SSO)
• 25. امنیت JWT: اهمیت محافظت از Secret Key
• 26. امنیت JWT: مدیریت زمان انقضا (Expiration Time)
• 27. امنیت JWT: توکن‌های یک‌بار مصرف (JTI Claim)
• 28. امنیت JWT: Short-lived Tokens و Refresh Tokens
• 29. معرفی Refresh Tokens و کاربرد آن‌ها
• 30. پیاده‌سازی مکانیزم Refresh Token
• 31. مشکلات امنیتی مرتبط با Refresh Tokens
• 32. JWT Encryption (JWE): رمزنگاری محتوای JWT
• 33. تفاوت JWT، JWS و JWE
• 34. Best Practices برای استفاده امن از JWT
• 35. ذخیره‌سازی امن JWT در سمت کاربر (Client-side)
• 36. جلوگیری از حملات بازپخش (Replay Attacks) با JWT
• 37. جلوگیری از سرقت توکن (Token Theft)
• 38. روش‌های Revocation (ابطال) JWT: چالش‌ها
• 39. پیاده‌سازی Revocation با لیست سیاه (Blacklisting)
• 40. پیاده‌سازی Revocation با لیست سفید (Whitelisting)
• 41. معرفی JSON Web Key (JWK)
• 42. چرخش کلید (Key Rotation) برای JWT Signature
• 43. مقدمه‌ای بر OAuth 2.0: یک فریمورک اعتبارسنجی
• 44. اهداف و اجزای اصلی OAuth 2.0
• 45. نقش‌ها در OAuth 2.0: Resource Owner
• 46. نقش‌ها در OAuth 2.0: Client
• 47. نقش‌ها در OAuth 2.0: Authorization Server
• 48. نقش‌ها در OAuth 2.0: Resource Server
• 49. Access Token در OAuth 2.0: ساختار و کاربرد
• 50. Refresh Token در OAuth 2.0 (مرور دوباره)
• 51. Grant Types (انواع اعطای دسترسی) در OAuth 2.0
• 52. Grant Type: Authorization Code Flow
• 53. پیاده‌سازی Authorization Code Flow برای وب‌اپلیکیشن‌ها
• 54. امنیت Authorization Code Flow: PKCE (Proof Key for Code Exchange)
• 55. Grant Type: Client Credentials Flow
• 56. کاربرد Client Credentials Flow برای ارتباطات سرویس به سرویس
• 57. Grant Type: Implicit Flow (و دلایل منسوخ شدن آن)
• 58. Grant Type: Resource Owner Password Credentials Flow (محدودیت‌ها و خطرات)
• 59. Scopes در OAuth 2.0: تعریف و کاربرد
• 60. اعتبارسنجی Access Token توسط Resource Server
• 61. معرفی Introspection Endpoint برای اعتبارسنجی توکن‌ها
• 62. مدیریت Client Registration (ثبت کلاینت‌ها)
• 63. مدیریت Consent (رضایت کاربر) در OAuth 2.0
• 64. مدیریت خطاهای OAuth 2.0 و کد‌های خطا
• 65. امنیت در OAuth 2.0: جلوگیری از حملات Redirect URI
• 66. امنیت در OAuth 2.0: محافظت در برابر حملات CSRF
• 67. امنیت در OAuth 2.0: محافظت در برابر حملات XSS
• 68. امنیت در OAuth 2.0: جلوگیری از Token Leakage
• 69. Best Practices برای پیاده‌سازی امن OAuth 2.0
• 70. مقدمه‌ای بر OpenID Connect (OIDC) به عنوان لایه هویتی بر روی OAuth 2.0
• 71. تفاوت‌های کلیدی OIDC با OAuth 2.0
• 72. ID Token در OIDC: ساختار و کاربرد
• 73. Claims در ID Token (Standard Claims, Optional Claims)
• 74. Endpoints اصلی OIDC: Discovery Endpoint
• 75. Endpoints اصلی OIDC: UserInfo Endpoint
• 76. Flows در OIDC: Authorization Code Flow با OIDC
• 77. Flows در OIDC: Implicit Flow با OIDC
• 78. Flows در OIDC: Hybrid Flow
• 79. معرفی JWKS Endpoint و کاربرد آن در OIDC
• 80. امنیت OIDC: اعتبارسنجی ID Token
• 81. بهترین شیوه‌ها برای پیاده‌سازی OIDC
• 82. نقش API Gateway در امنیت میکروسرویس‌ها
• 83. اعتبارسنجی توکن‌ها (JWT/OAuth) در API Gateway
• 84. Rate Limiting و Throttling در API Gateway
• 85. مدیریت Secret ها در میکروسرویس‌ها (مانند Vault, Kubernetes Secrets)
• 86. امنیت لایه انتقال (TLS/SSL) برای ارتباطات میکروسرویسی
• 87. Mutual TLS (mTLS) برای احراز هویت و رمزنگاری سرویس به سرویس
• 88. نگهداری لاگ‌های امنیتی و مانیتورینگ جامع
• 89. تشخیص نفوذ و پاسخگویی به حوادث امنیتی (Incident Response)
• 90. مدیریت آسیب‌پذیری‌ها و پچ‌های امنیتی
• 91. معماری Zero Trust در میکروسرویس‌ها
• 92. اصول DevSecOps در چرخه‌ی حیات میکروسرویس‌ها
• 93. تست امنیت میکروسرویس‌ها: SAST, DAST, IAST
• 94. پیاده‌سازی سیاست‌های امنیتی با ابزارهای Service Mesh (مثل Istio)
• 95. امنیت دیتابیس‌ها و ذخیره‌سازی داده‌ها در میکروسرویس‌ها
• 96. محافظت در برابر حملات منع سرویس (DDoS)
• 97. مدیریت دسترسی مبتنی بر نقش (RBAC) در میکروسرویس‌ها
• 98. مروری بر تهدیدات OWASP Top 10 برای API ها
• 99. جمع‌بندی و چشم‌انداز آینده امنیت میکروسرویس‌ها
• 100. الگوی API Gateway و نقش آن در متمرکزسازی امنیت