Pull to refresh
12
Голяков Сергей@Protos

Cybersecurity evangelist, DevSecOps

39
Subscribers
Send message

Спорил я как-то с техподдержкой насчет 4-х метровой лестницы в горной местности через которую нельзя велосипедный маршрут построить. Там либо на велике 300 метров в гору в объезд либо 4 метра велосипед на руках пронести

У нас несколько десятков безопасников, из них женщин безопасников 45%

Ага, вайтхэты уже потирают руки

Как это можно применить в финансовых приложениях?

В банкоматах по идее можно интегрировать?

Осталось зарезать права в домене, что бы хакер получивший доступ в домен под простым юзером не смог видеть это:

Так зачем она живет сутки по факту если на устройстве через 15 минут бездействия удалятся?

Есть мнение, что случайный пароль который может быть прочитан оператором сотовой связи, хакером юзающим уязвимости SS7, ФСБ, это не фактор «то чем ты владеешь» так как по сути им владеют многие, они просто не используют его. У вас просто по тексту двухфакторная аутентификация, а в комменте двухэтапная.

Я же имел ввиду, что на устройстве, то сессия умирает, да на сервере остается, я скорее про, то что злоумышленнику создать новую сессию с двухэтапной проверкой сложнее.

А старой сессией реально можно воспользоваться подменив параметры HTTP пакета?

Отсутствие завершения всех сессий это зло. Надеюсь разработчик увидит статью и одумается, поддержите лайками

Вход по SMS это не 2FA. Ну и система закрывает созданную заявку с текстом вида «у нас большая загрузка», с ботом раньше можно еще было пообщаться - сейчас нет. Но зато никто вашего отца не подставит слишком просто, нужно будет двухэтапную проверку пройти.

Я согласен с таким раскладом, думаю в человекочасах разгребать проблемы с двухэтапной аутентификацией дешевле чем разгребать проблемы со взломами однофакторки и проведением расследований, утечкой данных, откатом несанкционированно выполненных услуг.

Тогда по IP все имена, по именам сайт, на сайте все email и слать на них ссылку об этой дырке

Надо брать их под управление и либо выключать либо обновлять

Да просто система малочисленна и птицы соответственно через лучи редко пролетают

Ну как бы если бот сам ничего не предлагает, то это не агитация. Если сам зашел в чат с ботом и спросил, то нормально. Разве есть тут нарушение закона?

Скажите об этом Сберу…

Ну не знаю, мне для нормальной жизни и в областном городе такой зарплаты мало, а тут зарплата Москвы указана. Я если бы в Москву переезжал, то мне бы ее не то что на аренду квартиры не хватило, на садик и парковочное место тем более.

Средняя зарплата в ИТ 130.000₽

Information

Rating
Does not participate
Location
Россия
Works in
Registered
Activity

Specialization

DevSecOps, AppSec-инженер
Ведущий
From 600,000 ₽
Python
C#
Powershell
DevSecOps
SSDL