Modelowanie zagrożeń bezpieczeństwa znane z IT można łatwo przełożyć na naszą obecną sytuacje z koronawirusem.

Opowieść o najważniejszych aspektach bezpieczeństwa na które należy zwracać uwagę przy tworzeniu aplikacji

Zabezpieczenie backendu przed nieautoryzowanym dostępem jest najważniejszym elementem kontroli dostępu. W tym artykule pokażę jak utworzyłem prostą aplikację backendową, która wymaga autoryzacji z wykorzystaniem Auth0. Aplikacja jest stworzona w technologii .Net core...

Zarządzanie tożsamością użytkowników i prawami dostępu jest podstawą bezpieczeństwa większości aplikacji. We wszystkich aplikacjach daje się wykryć powtarzalne wzorce rozwiązań, pozwalające określić czy użytkownik rzeczywiście jest tym za kogo się podaje. Standardem jest opieranie się o login i hasło, często wzmocnione innymi mechanizmami takimi jak kody jednorazowe wysyłane sms-em. Jednocześnie jest to zagadnienie zasobochłonne, o ile sama implementacja ekranu logowania...

Tym razem nie jest to jakaś skoordynowana pod względem jednej konkretnej podatności akcja (choć w kilku miejscach przewija się deserializacja). Na początek podatność (krytyczność 9.8/10) w RichFaces, który wchodzi w skład JBossa: The RichFaces Framework 3.X through 3.3.4 is vulnerable to Expression Language (EL) injection via the UserResource resource. A remote, unauthenticated attacker could exploit this to execute arbitrary code using a chain of java serialized objects via org.ajax4jsf.resource.UserRe...

Nagle dowiadujesz się, że firma, w której pracujesz została „zhakowana”, a wszystkie dane zostały upublicznione. Czy można było temu zapobiec?

Artykuł oryginalnie w języku francuskim, ale nawet po auto-tłumaczeniu na polski jest warty przeczytania: Można sobie wyobrazić, że przechowywanie hasła w łańcuchu podczas wykonywania procesu, oferuje bezpieczne rozwiązanie i że trudno jest odczytać zawartość tego ciągu. W rzeczywistości ten typ pamięci nie jest bezpieczny. W aplikacjach .NET hasła przechowywane w stanie wyczyszczonym można znaleźć w obiekcie typu System.String . Jednak za pomocą bardzo małych środków można szybko odczytać zawartość do...

Czy da się przechowywać hasło użytkownika w taki sposób aby móc je zweryfikować podczas logowania ale nie znać jego treści? Brzmi to jak niezły paradoks, prawda? Okazuje się, że istnieje sposób aby tego dokonać. Wykorzystuje się w tym celu właśnie tytułowe funkcje skrótu.

W procesie implementacji systemu informatycznego zwykle przychodzi moment, gdzie w naszym kodzie zaczynają pojawiać się informacje niezbędne np. do połączenia z bazą danych lub integracją z zewnętrznymi dostawcami wszelakich usług jak np. mailing. Strategi radzenia sobie z tą niedogodnością jest kilka. Możemy temat uznać za mało ważny, który po prostu olejemy. Nie jest to dobrym pomysłem chociażby z tego względu, że w dzisiejszych czasach reverse engineering jest wszechobecny i dla wprawionych osób dekom...

BezpieczeństwoPiotr ZielińskiLeave a comment Protokół HTTPS jest dzisiaj powszechny na wszystkich stronach z wrażliwymi informacjami. Banki są klasycznym przykładem. HTTPS “gwarantuje”, że dane są przesyłane w szyfrowanej formie, a klient wie, że łączy się z oryginalną stroną. Certyfikat publikowany przez stronę jest gwarantem, że korzystamy właśnie z tej aplikacji, z której zamierzaliśmy. W najprostszej postaci wygląda to zatem następująco: Tego przynajmniej spodziewamy się… Problem w tym, że czasam...