C, PHP, VB, .NET

Техниката за двойно изпращане на бисквитка се използва за превенция на XSRF атаки в случаите, в които не желаем да записваме XSRF token в сесията или просто не използваме сесии. Прочети още...

.

Архив 2019/2020: Прочети още...

.

TLS сертификатите имат определено време на живот - обикновено от 3-4 месеца до 1 година (преди имаше и по-дълги). Един от големите проблеми, свързани със сигурността, е открадването на частния ключ за валиден сертификат - в такъв случай хакер може да създаде фалшив уебсайт и да извършва MiTM атаки. Затова много важна част от сигурността в интернет е възможността да можем да "оттегляме" (revoke) сертификати, с което да ги направим невалидни, независимо че все още не са изтекли.

Прочети още...

.

С приемането на RFC6265 и имплементирането на технологията в модерните браузъри, се прие нов начин за справяне с Cross Site Request Forgery. Идеята е да се добави възможност за рестрикция на използването на бисквитка (cookie) от страна на браузъра при заявка, която е генерирана чрез препращане от чужд сайт (cross site request). Досега ако например siteA накара браузъра на клиента (независимо дали автоматично чрез JavaScript или по волята на самия потребител натискайки линк/бутон) да направи GET или POST заявка към siteB и потребителят има записана бисквитка в siteB, тази бисквитка се предаваше и се използваше от siteB при изпълнение на въпросната заявка. Например ако потребителят например е логнат и има отворена сесия в siteB, той ще продължи да е логнат и при cross site заявки. С нововедението за атрибут SameSite на бисквитките се предоставя възможност това да не се случва.

В PHP досега бисквитките се създава чрез функцията setcookie, на която се подаваха серия параметри. Например в пълния си вид (без пропуснат параметър) се правеше следното: Прочети още...

.

RSA е алгоритъм за асиметрично криптиране на данни. Използват се два ключа, с които се криптира и съответно декриптира информацията. Измислен е през 1983 г. от Роналд Ривест, Ади Шамир и Леонард Адлеман. Използва се и до днес като един от основните алгоритми за пренос на криптирана информация в интернет с протокола TLS, както и при електронни подписи. Основната идея е имайки единия ключ да е математически много трудно да бъде изчислен какъв е другия. По този начин става възможно да даваме свободно единия от ключовете като "публичен" (приема се, че всички го знаят), а другия да остане "таен" (само собственика го притежава и никой друг не може в разумно време да го намери). Прочети още...

.

Ще се спрем на един проблем свързан с криптирането на информация. Той е свързан с това, че ако използваме един и същи ключ за криптиране върху една и съща информация, при една и съща трансформация, винаги ще получаваме един и същи краен резултат - криптирана поредица от битове. Когато се извършва пренос на информация в интернет, ние имаме чести повторения на части от страници и дори цели страници. Това би могло да послужи като вид информация за това какво точно преглеждаме в даден момент от време. Прочети още...

.

Бях обещал да публикувам част от докладите, които са оценени и защитени с отличен. Реших да селектирам общо пет. Приятно четене. Прочети още...

.

PHP е скриптов език, от което следва, че при всяко зареждане трябва да се извърши процес на компилация. Това, както може да се досетите, губи известно време, което може да се натрупа сериозно при по-натоварени сайтове. Още по-лошото е, че води и до дискови операции - файлът със сорс кода трябва да се прочете от диска, за да бъде компилиран. Тук на помощ идват кеширащите модули - OpCache, APC или Xcache. Идеята при всички е, че се заделя рам памет, в която се пазят готови компилирани скриптове. По този начин, ако някой желае да отвори даден скрипт, който вече е бил отварян и е кеширан, значително ще се ускори времето за изпълнение, защото напълно ще съкрати принципно бавния (от компютърна гледна точка) процес на компилиране. Най-популярният кеширащ механизъм за PHP е Zend Opcache и затова тук ще се спрем именно на неговата конфигурация. Прочети още...

.

Clickjacking е техника, с която ви карат да извършите собственоръчно действие, което не сте желали. Визуално на екрана виждате един обект, но с натискане на левия бутон на мишката върху него вие извършвате съвсем различно действие, а не това, което очаквате. Например отивате на някой уебсайт и виждате видеоклип. Искате да натиснете бутона Play и го правите. Но вместо да сте натиснали Play и клипчето да тръгне, се оказва че сте натиснали върху рекламен банер, който въобще не виждате, натиснали сте Like на някоя статия във Фейсбук, която въобще не сте виждали и т.н. Прочети още...

.

Когато се говори за blind sql injection се има предвид, че атаката се извършва без атакуваната страница да дава грешка. Вместо това хакерът вижда съвсем нормален отговор, но според него успява да определи дали заявката му е минала успешно или не.

Нека имаме база от данни със статии: Прочети още...

.