ytimg.preload(https://r10---sn-axq7sn7l.googlevideo.com/generate_204);ytimg.preload(https://r10---sn-axq7sn7l.googlevideo.com/generate_204?conn2);Что я хотел бы знать об IT в 20 лет. Максим Дорофеев — YouTube<link rel=«alternate» type=«application/json oembed» href=«www.youtube.com/oembed?format=json
В начале двухтысячных, примерно через пять лет программирования полный рабочий день за деньги, я с удивлением обнаружил, что помню не всё. Тогда я взял бумагу, ручку, и начал записывать ключевые моменты: интересное про C, Windows API, организацию кода, библиотеки. А всего через год понял, что в стопке из ста листов рукописных заметок очень трудно искать, менять и дополнять. Так начался долгий путь в поисках подходящего мне средства управления информацией.
…
— Нашли ошибку в видео? Пишите нам на support@ontico.ru
Основная мысль доклада Александра легко умещается в коротком тезисе: «фильтруй вход, экранируй выход». Под «входом» понимаются различные формы, файлы, заголовки HTTP, под «выходом» — браузер, консоль, базы данных.
Опираясь на этот тезис, Александр подробно рассказал о популярных угрозах в Сети, а так же предложил варианты решения проблем, связанных с ними.
К типичным угрозам спикер отнес: XSS, CSRF и DDoS атаки, небезопасный конструктор include, механизм обмана пользователей Clickjacking.
Довольно большую часть своего выступления Александр посвятил проблеме взлома паролей и последствиям этого взлома. Важно понимать, подчеркнул Александр, что, если произошла утечка базы — главное в этом случае а) устранить источник утечки, б) инвалидировать hash и в) попросить пользователей сменить ВСЕ пароли, чтобы лишить злоумышленников возможности использовать полученную информацию.
Немаловажным в процессе защиты проекта от взлома является человеческий фактор. Довольно часто приходится сталкиваться с тем, что и админы ошибаются. Типичные ошибки админов связаны с саппортом программ без предварительной проверки, раздачей прав на продакшн всем разработчикам компании, торчащей наружу memcached. Так же нужно помнить, что люди могут терять флешки, ноутбуки, телефоны — носители, на которых обычно хранится самая важная и ценная информация.
В завершении своего выступления Александр дал ссылки на те ресурсы, где можно подробнее почитать о WEB-безопасности, вот они:
1. OWASP testing guide
2. статьи и книги Мартина Фаулера про безопасность
3. secure.php.net/manual/ru/security.php
4. Q
df5