Les mer om presentasjonen hos NDC Security
Når API-er og moderne applikasjoner står sentralt i stadig flere virksomhetskritiske systemer, blir også autorisasjon et av de viktigste sikkerhetstemaene for utviklere. På NDC Security skal vår egen Eivind holde foredraget “BOLA, BOPLA, and BFLA: Let’s get rid of broken authorization”, hvor han tar for seg noen av de mest utbredte og samtidig mest undervurderte sikkerhetssvakhetene i moderne applikasjoner.
Broken authorization er blant de vanligste sårbarhetene som avdekkes i IT-systemer i dag, og dukker år etter år opp i toppen av OWASP Top 10 API. I dette foredraget går Eivind i dybden på tre konkrete varianter:
- Broken Object Level Authorization (BOLA)
- Broken Object Property Level Authorization (BOPLA)
- Broken Function Level Authorization (BFLA)
Hvorfor er akkurat disse sårbarhetene så utbredt? Hvorfor er de blant de vanligste feilene utviklere gjør, selv i ellers godt strukturerte løsninger? Og kanskje viktigst av alt: hvordan kan vi jobbe systematisk for å beskytte oss mot dem og redusere angrepsflaten betydelig?
Gjennom konkrete kodeeksempler på både god og dårlig praksis viser Eivind hvordan autorisasjon ofte blir implementert feil, og hvordan små designvalg kan få store sikkerhetsmessige konsekvenser. Samtidig viser han at det ikke nødvendigvis er komplisert å gjøre ting riktig. Med gode designmønstre og et bevisst forhold til sikkerhet på alle nivåer i applikasjonen, kan mange av disse sårbarhetene elimineres tidlig i utviklingsløpet.
Eivind er utvikler og applikasjonssikkerhetsekspert, og jobber i itverket som Head of Cybersecurity. Her hjelper han kunder med å forstå og håndtere sikkerhetsutfordringer i egne løsninger. Han har lang erfaring med å utvikle sikre applikasjoner, samt å gjennomføre sikkerhetsgjennomganger og kodeanalyser for å avdekke sårbarheter før de blir et reelt problem.
Eivind sto på scenen samme med Anders Kofoed i 2025 og vi gleder oss se han igjen dele innsikt og praktiske erfaringer rundt et tema som angår alle som utvikler, designer eller forvalter moderne applikasjoner.