Нарушение безопасности данных CBSE: может ли это повториться?

Описание: Система, оценивающая экзамены почти двух миллионов студентов, оказалась уязвимой из-за ряда элементарных ошибок безопасности — таких, о которых вы узнаете из первых глав любого курса по веб-безопасности.
В этом видео мы подробно разбираем, что именно пошло не так с порталом On-Screen Marking (OSM / OnMark), используемым CBSE: возможность обойти авторизацию прямо в браузере, мастер-пароль, хранящийся в открытом виде, неработающий контроль доступа (IDOR) и доступ к хранилищу Amazon S3, которое любой мог открыть без авторизации. Затем мы переходим к самому важному — как следует проектировать подобную систему, чтобы она никогда не ломалась таким образом.
Независимо от того, являетесь ли вы студентом, пытающимся понять, что на самом деле произошло, или начинающим инженером, который никогда не хочет выпускать подобные ошибки, это видео для вас.

🔐 Кибербезопасность для инженеров-программистов находится в бета-версии. Осталось всего несколько мест, и на этой неделе появятся 10 новых видео:
👉 https://academy.bytemonk.io/cybersec
Полный курс по системному проектированию также доступен здесь:
👉 https://academy.bytemonk.io/systemdesign

📚 Связанные ресурсы:
→ Блог ByteMonk: https://blog.bytemonk.io/
→ Курс по системному проектированию: https://academy.bytemonk.io/cybersec
→ LinkedIn:   / bytemonk  
→ Github: https://github.com/bytemonk-academy

⏱️ Временные метки
0:00 Система экзаменов, которая сломалась
1:07 Как на самом деле работает экранная проверка
2:16 Ошибка №1 — Доверие к браузеру (обход аутентификации)
3:45 Ошибка №2 — Мастер-пароль на виду
4:31 Ошибка №3 — Нарушение контроля доступа (IDOR)
6:48 Уязвимость №4 — Открытое хранилище S3
9:39 «Мы под атакой» — DoS-атака, объяснение
11:01 Как безопасно спроектировать систему
11:53 Что должен исправить CBSE
12:42 Краткий обзор + ресурсы

⚠️ Это видео предназначено только для образовательных целей и целей защиты от киберугроз. В нем объясняются распространенные классы уязвимостей и принципы проектирования безопасных систем. Оно не содержит инструкций по атаке на какую-либо работающую систему. Обсуждаемые уязвимости были выявлены независимыми исследователями и публично подтверждены советом; некоторые конкретные утверждения исследователей остаются независимо непроверенными и описаны как утверждения в видео.

#Кибербезопасность #ПроектированиеСистем #CBSE #Bytemonk