Безопасность приложений | Что исправлять в первую очередь, если продукт уже выпущен

Описание: Утечка ключа приводит к его аннулированию, но главный вопрос в том, кто имел право читать что-либо во время работы приложения. В этом эпизоде ​​мы рассмотрим, как обеспечить безопасность уже выпущенного приложения — не перечислим десять самых распространенных ошибок, а рассмотрим фактическое содержимое вашего уровня безопасности и как адаптировать авторизацию без полной переработки кода.

🎬 Обеспечение безопасности уже выпущенного приложения — Этап 5, Часть 1

Эпизод не зависит от поставщика — концепции применимы независимо от вашего облачного провайдера или фреймворка.

⏱️ Разделы
0:00 Начальный этап: начало
0:14 Более сложный вопрос
1:22 Что представляет собой этот уровень
2:49 Инвентаризация: семь групп
4:47 Запрет по умолчанию и принцип наименьших привилегий
6:45 Идентификация, сессия и состояние
8:21 Логика авторизации
11:13 Защитные и обнаруживающие средства контроля
12:43 Контроль среды
14:10 Работа с жизненным циклом
16:38 Граница: t0/t1 и критерии, предшествующие любой проверке
17:38 Заключение и что дальше

📚 Рассматриваемые темы
• Почему аннулирование скомпрометированного ключа не устраняет уязвимость авторизации под ним
• Семь групп уровня безопасности — архитектурные модели, идентификация, сессия, логика авторизации, средства контроля, среда, жизненный цикл
• Как сгенерированный код с безопасностью на уровне строк может привести к сбою при открытии и незаметному раскрытию данных других арендаторов
• Граница t0/t1 — критерии, предшествующие любой авторизации • Почему у большинства приложений разрешения «нарушились в порядке внедрения функций», а не были результатом преднамеренного решения?
• Подготовка ко второй части: порядок обновления авторизации — инвентаризация → фактическое состояние → теневые → согласование → изменение

🔗 Связанные материалы
Уведомления о безопасности GitHub и отзыв ключей: https://github.com/security/advisories
Ротация учетных данных AWS IAM: https://docs.aws.amazon.com/IAM/lates...
Шпаргалка по авторизации OWASP: https://cheatsheetseries.owasp.org/ch...

#ТехническийУчебник #ПрограммнаяИнженерия #Разработчики