Задать вопрос
xenon

Ярослав

Too drunk to fsck
Лайки

  • Почему двухфакторная аутентификация не ухудшает безопасность?

    @0x131315
    Активировав 2fa, получаешь одноразовый токен для устройства и десяток одноразовых резервных токенов для входа.
    При утере устройства, входишь через один из резервных токенов, анулируешь токен устройства, и перевыпускаешь новый.
    Утеря устройства и утеря/исчерпание резервных токенов - потеря аккаунта.
    Ответ написан
    Комментировать
    Комментировать

  • Почему двухфакторная аутентификация не ухудшает безопасность?

    saboteur_kiev
    @saboteur_kiev Куратор тега Информационная безопасность
    software engineer
    То есть, зная пароль, но лишившись номера телефона, должно быть можно восстановить номер. А имея номер телефона, должно быть можно восстановить пароль.

    Но в чем тогда выгода?

    В том, что вы привели пример НЕПРАВИЛЬНОЙ настройки двухфакторной авторизации.
    Восстановление доступа должно идти через службу безопасности, возможно даже с личным присутствием.
    А то, как двухфакторная авторизация сделана в общих мобильных сервисах - это так, для галочки и небольшого усложнения.
    Ответ написан
    1 комментарий
    1 комментарий

  • Как сделать безопасное исполнение пользовательского кода (lambda, function as a service)?

    inoise
    @inoise
    Solution Architect, AWS Certified, Serverless
    Тут должна быть шутка про Firecracker на котором работает AWS Lambda
    Ответ написан
    2 комментария
    2 комментария

  • Как сделать безопасное исполнение пользовательского кода (lambda, function as a service)?

    gbg
    @gbg Куратор тега Linux
    Любые ответы на любые вопросы
    Самое главное - брать с людей деньги и вести логи.

    Что касается докера - чисто технически, докер накладывает некоторые небольшие тормоза на сеть (в определенном режиме, когда он проксирует порт машины на порт в контейнере) и на ФС (когда контейнер работает не с вольюмом, а с оверлеем).

    На вычисления оверхеда нет.

    Докер - это не виртуализация, это просто аккуратная настройка network namespaces и cgroup. Где вы видите жор ресурсов? Конечно, если это делать через кубернетис, который тащит порядка двух гиг своего барахла, это будет жор ресурсов.

    Все набросанные вами идеи как раз и реализуются при помощи ковыряний в cgroup и network namespaces, так какой смысл повторять докер своими руками?
    Ответ написан
    Комментировать
    Комментировать

  • Как отображать разные посты блога Gatsby JS?

    @ParaBellum577 Автор вопроса
    Понимаю, что тут никто не ответит на подобного рода вопросы, поэтому отпишу сам, мб кому-то пргодится...
    Решил вопрос подключением другой CMS (Contentfull), которая может отправлять json типа Rich Text. Его можно спокойно вылянуть через GraphQl, распарсить и отобразить на странице динамически любой контент.
    Ответ написан
    2 комментария
    2 комментария

  • Как открыть www.dhl.ru curl'ом?

    dasha_programmist
    @dasha_programmist
    ex Software Engineer at Reddit TS/React/GraphQL/Go 
    curl 'http://dhl.com/' \
  -H 'Connection: keep-alive' \
  -H 'Upgrade-Insecure-Requests: 1' \
  -H 'User-Agent: Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.121 Safari/537.36' \
  -H 'Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9' \
  -H 'Accept-Language: ru-RU,ru;q=0.9,en-US;q=0.8,en;q=0.7' \
  --compressed \
  --insecure -I

TP/1.0 301 Moved Permanently
Location: http://www.dhl.com/
Server: BigIP
Connection: Keep-Alive
Content-Length: 0
    Ответ написан
    4 комментария
    4 комментария

  • Почему сайт ФСБ (fsb.ru) не использует https и как проверить отозванные сертификаты по имени?

    @vitaly_il1
    DevOps Consulting
    "Однако до сих пор не озадачились безопасностью передаваемой информации официальные порталы Президента России kremlin.ru, Госдумы www.duma.gov.ru, ФСБ России www.fsb.ru, Совета Безопасности РФ www.scrf.gov.ru. "
    https://roskomsvoboda.org/31159/ - 15.08.2017
    Ответ написан
    9 комментариев
    9 комментариев

  • Почему сайт ФСБ (fsb.ru) не использует https и как проверить отозванные сертификаты по имени?

    CityCat4
    @CityCat4 Куратор тега Цифровые сертификаты
    Внимание! Изменился адрес почты!
    Ну, Ярославище, американские законы далеко не всегда можно найти в открытом доступе - хайли лайкли знаете... А вот CRL - можно проверить, у нас не так уж и много крупных CA - thawte, comodo, globalsign... Вряд ли там был сертификат от LE :)

    UPD: Нифига не получится. В CRL есть только серийник и код отзыва :) Чел, у которого сертификат, конечно сможет проверить - а другие скорее всего нет :)

    UPD2 (большое):
    Ну, меня вопрос заинтересовал, и вот какие у меня соображения.

    Статья, разумеется, фуфел. У сайта fsb.ru, как и у kremlin.ru никогда не было сертификатов, проверить это можно у всезнающего гугла - сервис проверки. Сервис не находит ничего - то есть ничего не было. То есть, я так полагаю, все эти "35 отозванных сертификатов" на самом деле никогда не существовали, а упомянутые сайты никогда не имели сертификатов.
    То есть, получается, что американец пиZDит... как и полагается сейчас настоящему американцу :) Но тем не менее, он как ни странно - прав!

    Потому что проблема реально существует. Берем, например, яндекс.

    Сертификат выдан внутренним CA Yandex:
    CN = Yandex CA
OU = Yandex Certification Authority
O = Yandex LLC
C = RU

    ...которое ессно не корневой СA, а его сертификат выдан:
    CN = Certum Trusted Network CA
OU = Certum Certification Authority
O = Unizeto Technologies S.A.
C = PL

    ... которое - внезапно - находится (тут музыка, туш, чернила и клей) - в Польше!
    Issuer:
    CN=Certum CA,O=U­nizeto Sp. z o.o­.,C=PL
    CN=Certum Truste­d Network CA,OU=­Certum Certifica­tion Authority,O­=Unizeto Technol­ogies S.A.,C=PL
Serial:
    1961572933532405­2664386507102252­1293608
    279744
    4772842536756395­3368335862826026­879003
    9458922105397704­9342468936609165­78283
Not valid before:
    2008-10-22 12:07­:37 UTC
Not valid after:
    2027-06-10 10:46­:39 UTC
    2029-12-31 12:07­:37 UTC
    2025-12-30 23:59­:59 UTC
Key size:
    2048
Signature Algorithm:
    sha256WithRSAEnc­ryption
    sha1WithRSAEncry­ption

basicConstraints:
    CA:TRUE
subjectKeyIdentifier:
    08:76:CD:CB:07:F­F:24:F6:C5:CD:ED­:BB:90:BC:E2:84:­37:46:75:F7
authorityKeyIdentifier:
    DirName:/C=PL/O=­Unizeto Sp. z o.­o./CN=Certum CA­serial:01:00:20
keyUsage:
    Certificate Sign­, CRL Sign
crlDistributionPoints:
    Full Name:­ URI:http://crl­.certum.pl/ca.cr­l
authorityInfoAccess:
    OCSP - URI:http:­//subca.ocsp-cer­tum.com­CA Issuers - URI­:http://reposito­ry.certum.pl/ca.­cer
certificatePolicies:
    Policy: X509v3 A­ny Policy­ CPS: http://ww­w.certum.pl/CPS
    Policy: X509v3 A­ny Policy­ CPS: https://w­ww.certum.pl/CPS

    (пруф - вот)

    То есть, одним движением мышки Certum отзывает сертификат субцентра яндекса - и все сертификаты, выпущенные им, превращаются... в тыкву!

    Есть от чего с ума сойти...

    Ну и еще момент. Имея сертификат сайта - можно достаточно просто проверить факт его отозванности. Вот статья на хабре, она короткая, но полезные команды там есть.
    Ответ написан
    9 комментариев
    9 комментариев

  • Как использовать SQL-запросы в JavaScript?

    mcdb
    @mcdb
    То ли программист, то ли видение...
    Из JavaScript минуя PHP можно выполнить запрос используя Node.js или IO.js
    Ответ написан
    Комментировать
    Комментировать

  • Что значит этот SQL запрос?

    Rsa97
    @Rsa97
    Для правильного вопроса надо знать половину ответа
    /*!32312 */ - текст внутри комментария используется, если версия mysql выше или равна указанной
    Для MySQL ниже 3.23.12 полная строка будет
    CREATE DATABASE `_mo`;
    Для версий от 3.23.12 до 4.0.xx:
    CREATE DATABASE IF NOT EXISTS `_mo`;
    Для 4.1.0 и выше
    CREATE DATABASE IF NOT EXISTS `_mo` DEFAULT CHARACTER SET latin1;
    Ответ написан
    1 комментарий
    1 комментарий

  • Как быстро переносить сайты и реконфигурировать вебсервер (Облако как безотказный сервер)?

    inoise
    @inoise
    Solution Architect, AWS Certified, Serverless
    То что вы хотите это целый комплекс работ и изменения в ваших процессах и инструментах. Рекомендую ознакомиться изначально с Cloud Adoption Framework. Затем посмотреть на Cloud Migration Best Practices.

    Все что вы перечислили не позволит дать вам какие-либо адекватные рекомендации по тому что нужно делать ассессмент текущей архитектуры, ресурсов, собирать требования к новой системе и уже смотреть в какой Клауд, зачем, для чего, нужно ли делать Hybrid Cloud и так далее
    Ответ написан
    2 комментария
    2 комментария

  • Как узнать что скрипт работает от имени администратора?

    firedragon
    @firedragon
    Не джун-мидл-сеньор, а трус-балбес-бывалый.
    whoami

    There is os.getuid() which "Returns the current process’s user id.". But how do I find out any given user's id?


    Пользователь рут имеет id 0
    Ответ написан
    Комментировать
    Комментировать

  • Есть ли где поиск фото по фотокамере (exif)?

    @Shepoval
    https://www.flickr.com/cameras/panasonic/dmc-fz1000/ поиск фото по камере
    Ответ написан
    Комментировать
    Комментировать

  • Есть ли базы данных, хранилища, бэкенды для конфиденциальных данных?

    @zavodp
    Например, если в приложении есть SQL Injection, то найдя ее, взломщик просто отдает запрос SELECT * FROM customers; и получает список всех клиентов с паролями. Он может это сделать, потому что язык SQL дает такую возможность. Хотя с точки зрения безопасности, фронтенду именно такая опасная операция никогда не нужна (но нужен доступ к табл. customers).

    Есть куча решений:

    1) СУБД дает такую возможность. Но совсем не обязательно, чтобы у пользователя SQL, используемого фронтендом был доступ к таблице customers, где хранятся пароли. К другим таблицам - пожалуйста. К этой - нет. Проверка паролей - только через отдельный сервер типа oAuth.

    2) В СУБД есть куча тонких настроек ограничений доступа, даже если вам нужно дать доступ к таблице customers, где хранятся пароли.
    https://www.postgresql.org/docs/10/ddl-rowsecurity.html
    https://docs.microsoft.com/en-us/sql/relational-da...

    3) Пароли хранить не нужно. Достаточно хранить "подсоленый хэш". Получение соленых хешей ничего не даст.
    https://habr.com/en/post/145648/
    https://habr.com/en/post/210760/
    https://habr.com/en/post/145667/
    https://habr.com/en/post/39079/

    4) Есть специализированные БД, для хранения секретов.
    Они, в отличие от обычных СУБД. невкрываемы, даже если злоумышленник утащит все файлы СУБД.
    Также они позволяют вести аудит.
    Также позволяют организовывать отзыв паролей и т.п.
    Полностью задачу решить, понятно, нельзя, так как если злоумышленник проникнет внутрь и получит токен для доступа к данным, то до самих данных он доберется и тут.
    Но хотя бы этот доступ будет ограниченным во времени.
    https://habr.com/en/company/oleg-bunin/blog/438740/
    https://habr.com/en/post/306812/

    5) Можно вообще не хранить пароли в обычном виде в СУБД, а передавать их в приложение при старте через переменные среды окружение.
    И пр.
    И т.п.

    6) Ограничение простого перебора. Исключить использование идентификаторов вида 1, 2, 3, 4, 5. А использовать что то вроде 0xF6C0F6C5430DC8904F60ABE822345200 и добавить throttling, чтобы ограничить скорость перебора. Уже не говоря о жесткой блокировке по IP при слишком большом количестве попыток перебора.

    7) А с чего это ему хоть что то отдастся при таком запросе?
    взломщик просто отдает запрос SELECT * FROM customers; и получает список всех клиентов с паролями

    А зачем ваш бэкенд вообще по чьей либо указке выполняет непредусмотренный запрос? У меня вон в коде и предусмотренные запросы не так просто заставить выполнить. Выполняются только в строгих рамках разрешенного и предусмотренного при разработке.

    SQL Injection вообще невозможен при современном подходе, кода выполняется только то, что предусмотрено; когда используются современные фреймворки и современные библиотеки, где всё фильтруется на несколько раз.
    Ваш пример - это что-то из 2000-2010-х годов. Давно уже подобный код, разрешающий всё не практикуется.
    Хотя, программисты конечно разные бывают....

    Короче, методов защиты очень и очень много.

    Тут дело вовсе не в специальной СУБД.
    Так как и к ней можно получить доступ.

    Дело в принципе - разделяй и властвуй.
    Чтобы даже где-то что то получив, злоумышленник не смог сделать много вредного.
    Ответ написан
    Комментировать
    Комментировать

  • Есть ли где поиск фото по фотокамере (exif)?

    dimonchik2013
    @dimonchik2013
    non progredi est regredi
    никакой

    а тебе сюда - не столько форум, сколько сам сайт

    все там камеры выбирают
    Ответ написан
    Комментировать
    Комментировать

  • Есть ли базы данных, хранилища, бэкенды для конфиденциальных данных?

    @Vitsliputsli
    Посмотрите в сторону мандатного контроля, это в первую очередь решения на основе SELinux, и основные СУБД их поддерживают.
    Ответ написан
    3 комментария
    3 комментария

  • Есть ли базы данных, хранилища, бэкенды для конфиденциальных данных?

    Zarom
    @Zarom
    Хм, ну ещё ко всем ответам, могу предложить Hashicorp Vault
    Ответ написан
    1 комментарий
    1 комментарий

  • Есть ли базы данных, хранилища, бэкенды для конфиденциальных данных?

    @nApoBo3
    Это можно реализовать тонко настроив ограничения, плюс хранимые процедуры и триггеры. Но обычно так не делают поскольку это значительно усложняет систему и может крайне негативно сказаться на производительность ( а там где важна такая безопасность обычно важна и производительность ).
    Ответ написан
    5 комментариев
    5 комментариев

  • Есть ли базы данных, хранилища, бэкенды для конфиденциальных данных?

    @vitaly_il1
    DevOps Consulting
    Посмотрите на WAF, особенно на Database Firewalls (https://www.imperva.com/ и т.п.)
    Есть советы по безопасной архитектуре от OWASP,
    по прохождения аудита на PCI, SOC2.
    Ответ написан
    4 комментария
    4 комментария

  • Как лучше хранить логи в базе данных?

    inoise
    @inoise
    Solution Architect, AWS Certified, Serverless
    Логичнее всего - не хранить логи в базе данных, черт побери) Использовать надо для каждой задачи свои инструменты, например, тот же самый пресловутый ELK
    Ответ написан
    Комментировать
    Комментировать