todo:cast - Developer Podcast

Diese Folge ist etwas länger als üblich, aber das Thema ist wichtiger denn je. Wir arbeiten uns durch die OWASP Top 10, eine Rangliste der wichtigsten Themen rund um die Sicherheit von Web Applikationen. Das Open Web Application Security Project (OWASP) ist eine Non-Profit-Organisation die sich zum Ziel gesetzt hat, die Sicherheit von Anwendungen im Web zu verbessern. Ein Mittel dafür ist die Erstellung der regelmäßig aktualisierten Top 10 Liste, die dazu dient ein Bewusstsein für die wichtigsten Risikofaktoren zu erreichen.

Links:

OWASP Top 10

https://owasp.org/www-project-top-ten

Noch einmal möchten wir auf die Abhängigkeit von Open Source Projekten eingehen und diskutieren, wie wir als Community und Softwareindustrie mit den Menschen hinter quelloffener Software und dem Potential von bewusster Sabotage umgehen. Anlass ist die Manipulation der OpenSource Projekte colors.js und faker.js durch den Maintainer und die bewusste Veröffentlichung angepasster npm-Pakete, die diese unbrauchbar machen.

Links:

Artikel auf The Verge (Englisch): https://www.theverge.com/2022/1/9/22874949/developer-corrupts-open-source-libraries-projects-affected

Artikel auf Heise (Deutsch): https://www.heise.de/news/Paketmanager-npm-Entwickler-macht-eigene-Packages-unbrauchbar-6322366.html

Artikel auf Bleeping Computer (Englisch): https://www.bleepingcomputer.com/news/security/dev-corrupts-npm-libs-colors-and-faker-breaking-thousands-of-apps/

Tweet von Robin-Manuel: https://twitter.com/robinmanuelt/status/1481122946169151489

In der ersten Folge des Jahres sprechen wir noch einmal über Log4Shell bzw. die im Dezember bekannt gewordene Verwundbarkeit der Java Logging Library Log4j. Wie mittlerweile deutlich geworden ist, sind die Auswirkungen massiv und zahlreiche Internetdienste waren betroffen. Wir besprechen, worum es eigentlich geht, was man jetzt tun sollte und was wir für Zukunft daraus lernen können.

Links:

CVE-2021-44228 "Log4Shell"

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44228

Apache Log4j Security Vulnerabilities

https://logging.apache.org/log4j/2.x/security.html

Apache Log4j Change Log:

https://logging.apache.org/log4j/2.x/changes-report.html

Log4Shell: RCE 0-day exploit found in log4j 2, a popular Java logging package

https://www.lunasec.io/docs/blog/log4j-zero-day/

Kommentar zu Log4j: Es funktioniert wie spezifiziert

https://www.heise.de/meinung/Kommentar-zu-log4j-Es-funktioniert-wie-spezifiziert-6294476.html

Open Source Web App um einen Exploit-String zu generieren, der bei erfolgreicher Ausführung eine E-Mail schickt

https://canarytokens.org/

Log4j in Gradle

https://blog.gradle.org/log4j-vulnerability

Developer Highlights, Geschenke und gute Vorsätze fürs neue Jahr - das ist unsere Weihnachtsfolge. Wir blicken auf das Jahr 2021 zurück, diskutieren Technologien die uns beeindruckt haben und nehmen uns vor allem eines für 2022 vor: Regelmäßig eine neue Folge von diesem Podcast aufnehmen!

Um den Jahresabschluss mit euch zu feiern und uns für eure Treue zu bedanken, möchten wir ein paar von euch beschenken.

Als Geschenke gib es unter anderem kluge Bücher wie:

- Clean Code von Robert Martin

- Essential Scrum von Rubin Kenneth

- Design Patterns von Erich Gamma und Richard Helm

- Designing Distributed Systems von Brendan Burns

- How Google Tests Software von James Whittaker

Für die Chance auf Geschenk, schreibt uns eine E-Mail an [email protected] mit dem Betreff "Weihnachtsfolge 2021", nennt uns eine der neuen Programmiersprachen die Robin-Manuel 2022 lernen möchte und schreibt dazu, welches Buch euch am meisten interessiert. Packt auch gerne ein Wunschthema in die E-Mail, das wir in 2022 im Podcast besprechen sollen.

Wir wünschen euch ein wunderbaren Jahresabschluss und freuen uns auf das neue Jahr mit euch!

Um im Rahmen des Entwicklungsprozesses bestimmte Teile zu automatisieren und CI/CD einsetzen zu können, wird eine entsprechende Ausführungsumgebung benötigt. Diese so genannten Runner oder Agents, werden entweder in der eigenen (Cloud-)Infrastruktur bereitgestellt oder vom CI/CD Service Anbieter als Dienst bereit gestellt. In dieser Folge sprechen wir über die verschiedenen Möglichkeiten sowie deren Vor- und Nachteile.

Pull Request Reviews sind garnicht so einfach. Neben technischem Feedback gibt es auch kulturelle Aspekte im Team zu beachten. Worauf sollte man im Pull Request Review eigentlich achten und worauf nicht? Und wie gebe ich eigentlich richtig Feedback? Das versuchen wir in dieser Folge zu klären.

Links:

"I'm Changing How I Review Code" von Dan Goslen:

https://dev.to/dangoslen/i-m-changing-how-i-review-code-328g

"How to Review Code as a Junior Developer" von Pinterest Engineering

https://medium.com/pinterest-engineering/how-to-review-code-as-a-junior-developer-10ffb7846958

"Those pesky pull request reviews" von Jessica Kerr

https://jessitron.com/2021/03/27/those-pesky-pull-request-reviews/

"Reviewing pull requests" GitHub Learning Lab

https://lab.github.com/githubtraining/reviewing-pull-requests

Copilot ist ein neues Tool von GitHub um Code anhand von Methoden Signaturen und Kommentaren live im Editor auf Basis eines ausgeklügelten Machine Learning Models zu generieren. Wie gut es wirklich ist und ob das die Zukunft der Software Entwicklung nachhaltig verändern wird haben wir uns mal angeschaut.

Links:

- GitHub Copilot: https://copilot.github.com/

In dieser Folge steigen wir tiefer in das Thema Progressive Web Apps (PWA) ein und diskutieren, was wir persönlich darunter verstehen. Dabei konzentrieren wir uns auf den Grundgedanken hinter dem Konzept, welche Probleme sie lösen und ob man auf sie setzen sollte.

Sind PWA mittlerweile soweit, dass man damit seine nativen Apps ersetzen kann? Diese und andere Fragen beantworten wir aus unserer Perspektive. Um die Folge kompakt zu halten sparen wir Aspekte wie konkrete APIs, Service Worker Nutzung oder die Ausgestaltung des App Manifest jedoch aus. Bei Bedarf gehen wir darauf in einer separaten Folge ein.

Link:

- Can I Use Feature Comparison: https://caniuse.com

- Install to Homescreen / Manifest Support: https://caniuse.com/web-app-manifest

- Web App Manifest: https://developer.mozilla.org/de/docs/Web/Manifest

- PWA Builder: https://www.pwabuilder.com

- What is a PWA: https://developer.mozilla.org/en-US/docs/Web/Progressive_web_apps/Introduction

Nachdem wir in Folge 9 das Thema Infrastructure as Code schon einmal beleuchtet haben, widmen wir uns in dieser Folge einigen Anwendungsbeispielen aus der Praxis. Dabei schauen wir uns an, in welchen Phasen des Entwicklungszyklus wir IaC einsetzen, zu welchem Zweck und mit welchen Technologien wir dabei arbeiten.

Ihr erreicht uns bei Fragen und Rückmeldungen auf Twitter unter twitter.com/robinmanuelt und twitter.com/maltelantin

Links:

Blog Post Pull Requests deployen: https://pumpingco.de/blog/review-pull-requests-by-deploying-them-into-kubernetes-with-github-actions/

Wie kann man eigentlich in der Softwareentwicklung Geld verdienen? Die Antwort auf diese Frage scheint einfach zu sein, aber tatsächlich gibt es viele verschiedene Varianten, von der Festanstellung bis zum eigenen Produkt. In dieser Folge unterhalten wir uns über dieses Thema und diskutieren aus unserer Sicht die Vor- und Nachteile der unterschiedlichen Jobs, sowie was in diesen Bereichen üblicherweise verdient wird. Zudem besprechen wir ein paar Möglichkeiten den nächsten Job oder Auftrag zu bekommen. Das Schöne ist, dass man in der Softwareentwicklung viele Möglichkeiten hat, etwas Neues zu machen und die richtige Aufgabe für sich selbst zu finden.

Habt ihr auch manchmal das Gefühl, dass es mal Zeit für eine Veränderung bei euch ist?

Ihr erreicht uns auf Twitter unter twitter.com/robinmanuelt und twitter.com/maltelantin

Links:

- Software Engineering Job Levels und Gehalt: https://www.levels.fyi/

- Software Engineering Gehalt in Deutschland: https://www.payscale.com/research/DE/Job=Software_Engineer/Salary

- Gehälter für Freelancer:

(1) https://www.computerwoche.de/a/was-freiberufler-verdienen

(2)https://jaxenter.de/freelancer-gehalt-studie-2019-86679