คำถามติดแท็ก security

คำถามนี้เกิดขึ้นในวันนี้ขณะที่พูดคุยกับเพื่อนร่วมงานเกี่ยวกับหน้า 'สร้างบัญชี' สำหรับเว็บไซต์ที่เรากำลังดำเนินการ ความคิดเห็นของเพื่อนร่วมงานของฉันคือเราควรทำการลงทะเบียนอย่างรวดเร็วและราบรื่นที่สุดเท่าที่จะทำได้ดังนั้นเราควรขออีเมลจากผู้ใช้และดูแลส่วนที่เหลือ ฉันเห็นด้วยกับความตั้งใจ แต่ฉันมีข้อกังวลเล็กน้อยเกี่ยวกับเรื่องนี้: เนื่องจากเราสร้างรหัสผ่านเรามีหน้าที่ตรวจสอบให้แน่ใจว่ารหัสผ่านนั้นแข็งแรงพอ จากประสบการณ์ของฉันเมื่อเผชิญหน้ากับรหัสผ่านที่ไม่สามารถเข้าใจได้ผู้ใช้มักจะจดไว้ในโพสต์ ผู้ใช้ที่ไม่ได้เขียนรหัสผ่านมีแนวโน้มที่จะลืมมัน ซึ่งหมายความว่าพวกเขาจะต้องขอรหัสผ่านใหม่เป็นประจำและไม่สนุกสำหรับทุกคน อย่างไรก็ตามเมื่อพิจารณาถึงคุณภาพทั่วไปของรหัสผ่านที่สร้างโดยผู้ใช้และความจริงที่ว่ามีคนจำนวนมากเกินไปที่จะใช้รหัสผ่านเดียวกันสำหรับทุกอย่าง ('ตัวสั่น') ฉันสามารถดูได้ว่าการสร้างรหัสผ่านที่แข็งแกร่งสำหรับพวกเขา ฉันยังรู้สึกขาดมัน เรากำลังทำงานบนเว็บไซต์ร้านค้าที่ผู้ใช้มีตัวเลือกในการบันทึกรายละเอียดบัตรเครดิตของเขาดังนั้นจึงเป็นสิ่งสำคัญอย่างยิ่งที่เราต้องใช้วิธีการที่ปลอดภัยที่สุด

11 security  passwords 

ฉันไม่มีประสบการณ์กับแอพพลิเคชั่นบนเดสก์ท็อปมากนัก แต่ถ้าฉันต้องสร้างแอพพลิเคชั่นบนเดสก์ท็อปเซิร์ฟเวอร์ลูกค้าการเข้าถึงข้อมูลจะทำได้ผ่านเว็บเซอร์ ฉันเชื่อว่าการเข้าถึงข้อมูลผ่านเว็บเซอร์วิซเป็นการรักษาความปลอดภัยฉันไม่จำเป็นต้องผ่านชื่อผู้ใช้และรหัสผ่านของเซิร์ฟเวอร์ db เป็นต้น ก่อนเว็บเซอร์แอปพลิเคชันฐานข้อมูลทำสิ่งนี้ได้อย่างไร ข้อมูล db ที่สำคัญทั้งหมดถูกส่งผ่านไปยังการติดตั้งแอพเดสก์ท็อปหรือไม่ ถ้าเป็นเช่นนั้นโปรแกรมเมอร์ทำหน้าที่จัดการด้านความปลอดภัยอย่างไร? หรือโปรแกรมเมอร์ใช้บางอย่างที่คล้ายกับ webservices

11 programming-practices  security 

ฉันมีเว็บแอปพลิเคชันที่จะเป็นเทคโนโลยีฝั่งไคลเอ็นต์ทั้งหมด (HTML, CSS, JavaScript / AngularJS, ฯลฯ ... ) เว็บแอปพลิเคชันนี้กำลังโต้ตอบกับ REST API เพื่อเข้าถึงและแก้ไขข้อมูล ตอนนี้มันยังไม่ได้ตัดสินใจว่าจะใช้ระบบรับรองความถูกต้องประเภทใด REST API จากความเข้าใจของฉันระบบการตรวจสอบความถูกต้อง API ประเภทใด ๆ (คีย์ API, OAuth 1/2, ฯลฯ ... ) จะมีข้อมูลบางอย่างที่ต้องเก็บเป็นความลับมิฉะนั้นการเข้าถึงอาจถูกบุกรุกได้ สำหรับคีย์ API คีย์เหล่านั้นต้องเป็นความลับสำหรับ OAuth 2 ไคลเอนต์ลับ / โทเค็นการเข้าถึง / โทเค็นการรีเฟรชจำเป็นต้องเก็บเป็นความลับฉันแน่ใจว่าสี่คีย์ที่เกี่ยวข้องใน OAuth 1 ต้องเก็บเป็นความลับ (ไม่ใช่ มีประสบการณ์มากเกินไปกับ OAuth 1) ฉันพยายามคิดว่าหากมีวิธีการจัดเก็บสิ่งที่เป็นความลับนี้ในเว็บแอปพลิเคชันฝั่งไคลเอนต์ที่บริสุทธิ์โดยไม่มีการเรียงลำดับชั้นกลางบนฝั่งเซิร์ฟเวอร์ ฉันพยายามคิดเกี่ยวกับสิ่งนี้และฉันไม่สามารถนึกถึงสถานที่ที่จะทำเช่นนั้นได้ ฉันหมายถึงฉันไม่สามารถเก็บไว้ในจาวาสคริปต์เพราะทุกคนสามารถดูแหล่งข้อมูลหรือเปิดคอนโซลและรับข้อมูลได้ ฉันไม่แน่ใจ 100% …

11 web-development  security 

ปิด คำถามนี้เป็นคำถามความคิดเห็นตาม ไม่ยอมรับคำตอบในขณะนี้ ต้องการปรับปรุงคำถามนี้หรือไม่ อัปเดตคำถามเพื่อให้สามารถตอบข้อเท็จจริงและการอ้างอิงได้โดยแก้ไขโพสต์นี้ ปิดให้บริการใน4 ปีที่แล้ว ฉันกำลังขัดแย้งกับนักพัฒนาที่มีประสบการณ์มากกว่าในเรื่องนี้และสงสัยว่าคนอื่นคิดอย่างไรกับมัน สภาพแวดล้อมของเราคือ Java, EJB 3, บริการและอื่น ๆ รหัสที่ฉันเขียนเรียกบริการเพื่อรับสิ่งของและสร้างสิ่งต่าง ๆ ปัญหาที่ฉันพบคือฉันได้รับข้อยกเว้นตัวชี้ null ซึ่งไม่สมเหตุสมผล ตัวอย่างเช่นเมื่อฉันขอให้บริการเพื่อสร้างวัตถุฉันได้รับกลับมาเป็นโมฆะ; เมื่อฉันพยายามค้นหาวัตถุที่มีรหัสที่ถูกต้องที่รู้จักฉันได้รับ null กลับ ฉันใช้เวลาพยายามหาสิ่งที่ผิดพลาดในรหัสของฉัน ตั้งแต่ฉันมีประสบการณ์น้อยฉันมักจะคิดว่าฉันทำอะไรผิด แต่กลับกลายเป็นว่าเหตุผลที่ผลตอบแทน Null คือความปลอดภัย หากผู้ใช้หลักที่ใช้บริการของฉันไม่ได้รับสิทธิ์ที่ถูกต้องสำหรับบริการเป้าหมายมันจะส่งคืนค่าว่าง บริการอื่น ๆ ส่วนใหญ่ที่นี่ไม่ได้รับการบันทึกไว้เป็นอย่างดีดังนั้นจึงเห็นได้ชัดว่านี่เป็นสิ่งที่คุณต้องรู้ สิ่งนี้ค่อนข้างสับสนในฐานะนักพัฒนาที่เขียนโค้ดที่โต้ตอบกับบริการ มันจะสมเหตุสมผลมากกว่าสำหรับฉันถ้าบริการนี้เป็นข้อยกเว้นที่จะบอกฉันว่าผู้ใช้ไม่มีสิทธิ์ที่เหมาะสมในการโหลดสิ่งนี้หรือเพื่อสร้างสิ่งนั้น ฉันจะทราบได้ทันทีว่าเหตุใดบริการของฉันจึงไม่ทำงานตามที่คาดไว้ นักพัฒนาที่มีประสบการณ์มากขึ้นซึ่งเขียนบริการแย้งว่าการขอข้อมูลไม่ใช่เงื่อนไขข้อผิดพลาดและข้อยกเว้นนั้นควรถูกส่งไปในเงื่อนไขข้อผิดพลาดเท่านั้นไม่ใช่เมื่อผู้ใช้ไม่สามารถเข้าถึงข้อมูลได้ ข้อมูลนี้มักจะถูกค้นหาใน GUI และสำหรับผู้ใช้ที่ไม่มีสิทธิ์ที่ถูกต้องสิ่งเหล่านี้ก็คือ "ไม่มีตัวตน" ดังนั้นในระยะสั้น: ถามไม่ผิดดังนั้นไม่มีข้อยกเว้น รับเมธอดส่งคืน null เนื่องจากสำหรับผู้ใช้เหล่านั้นสิ่งเหล่านั้น "ไม่มีอยู่" สร้างเมธอดส่งคืนค่าว่างเมื่อผู้ใช้ไม่ได้รับอนุญาตให้สร้างสิ่งนั้น นี่เป็นเรื่องปกติและ / หรือแนวปฏิบัติที่ดีหรือไม่? …

11 java  security  exceptions  null 

ปิด คำถามนี้จะต้องมีมากขึ้นมุ่งเน้น ไม่ยอมรับคำตอบในขณะนี้ ต้องการปรับปรุงคำถามนี้หรือไม่ อัปเดตคำถามเพื่อให้มุ่งเน้นที่ปัญหาเดียวโดยแก้ไขโพสต์นี้ ปิดให้บริการใน4 ปีที่แล้ว ฉันกำลังจะเขียนแนวทาง บริษัท เกี่ยวกับสิ่งที่ต้องไม่ปรากฏในบันทึก (การติดตามแอปพลิเคชัน) ในความเป็นจริงผู้พัฒนาบางรายพยายามที่จะรวมข้อมูลให้มากที่สุดเท่าที่จะทำได้ทำให้มีความเสี่ยงในการจัดเก็บบันทึกเหล่านั้นและเป็นอันตรายอย่างยิ่งที่จะส่งพวกเขาโดยเฉพาะอย่างยิ่งเมื่อลูกค้าไม่ทราบว่าข้อมูลนี้ถูกจัดเก็บไว้ และไม่เคยอ่านเอกสารและ / หรือข้อความเตือน ตัวอย่างเช่นเมื่อจัดการกับไฟล์นักพัฒนาบางส่วนถูกล่อลวงเพื่อติดตามชื่อของไฟล์ ตัวอย่างเช่นก่อนที่จะผนวกชื่อไฟล์ไปยังไดเรกทอรีถ้าเราติดตามทุกอย่างที่เกิดข้อผิดพลาดมันจะง่ายต่อการสังเกตเช่นชื่อต่อท้ายยาวเกินไปและข้อผิดพลาดในรหัสก็คือลืมที่จะตรวจสอบความยาวของ สตริงที่ต่อกัน มันจะมีประโยชน์ แต่นี่เป็นข้อมูลที่สำคัญและต้องไม่เคยปรากฏในบันทึก ในทำนองเดียวกัน: รหัสผ่าน , ที่อยู่ IP และข้อมูลเครือข่าย (ที่อยู่ MAC, ชื่อโฮสต์, ฯลฯ ) ¹, การเข้าถึงฐานข้อมูล ป้อนข้อมูลโดยตรงจากผู้ใช้และข้อมูลธุรกิจที่เก็บไว้ ต้องไม่ปรากฏในร่องรอย ดังนั้นข้อมูลประเภทอื่น ๆ จะต้องถูกระงับจากบันทึก? มีแนวทางใดบ้างที่เขียนไว้แล้วซึ่งฉันสามารถใช้ได้ ¹เห็นได้ชัดว่าฉันไม่ได้พูดถึงสิ่งต่าง ๆ เช่นบันทึก IIS หรือ Apache สิ่งที่ฉันกำลังพูดถึงคือการเรียงลำดับของข้อมูลที่รวบรวมโดยมีจุดประสงค์เพียงเพื่อดีบักแอปพลิเคชันเท่านั้นไม่ใช่เพื่อติดตามกิจกรรมของเอนทิตีที่ไม่น่าเชื่อถือ แก้ไข:ขอบคุณสำหรับคำตอบและความคิดเห็นของคุณ เนื่องจากคำถามของฉันไม่แม่นยำเกินไปฉันจะพยายามตอบคำถามที่พบในความคิดเห็น: ฉันกำลังทำอะไรกับบันทึก บันทึกของแอปพลิเคชันอาจถูกเก็บไว้ในหน่วยความจำซึ่งหมายความว่าอาจเป็นแบบธรรมดาบนฮาร์ดดิสก์บนโลคัลโฮสต์ในฐานข้อมูลอีกครั้งในแบบธรรมดาหรือใน …

11 security  information 

คุณคิดว่าเป็นการดีหรือไม่ที่จะใช้ความเป็นไปได้ที่จะอนุญาตให้ผู้ใช้ที่เป็นผู้ดูแลระบบเข้าสู่ระบบในฐานะผู้ใช้รายอื่นผ่านรหัสผ่าน? สิ่งนี้สามารถทำได้โดยใช้รหัสผ่านหลักหรือฟังก์ชั่นภายในการบริหารผู้ใช้ "เข้าสู่ระบบในฐานะผู้ใช้นี้" ผู้ดูแลระบบกำลังขอฟังก์ชั่นดังกล่าวเพื่อให้สามารถลองเกิดปัญหาที่รายงานหรือเพื่อตรวจสอบว่าได้รับอนุญาตเป็นตัวอย่างหรือไม่

11 security  problem-solving 

Websocket RFCปัจจุบันกำหนดให้ไคลเอ็นต์ websocket ปิดบังข้อมูลทั้งหมดภายในเฟรมเมื่อส่ง (แต่ไม่จำเป็นต้องใช้เซิร์ฟเวอร์) เหตุผลที่โปรโตคอลออกแบบมาเพื่อป้องกันข้อมูลเฟรมไม่ให้ถูกแก้ไขโดยบริการที่เป็นอันตรายระหว่างไคลเอนต์และเซิร์ฟเวอร์ (พร็อกซี่ ฯลฯ ) อย่างไรก็ตามคีย์การปิดบังยังคงเป็นที่รู้จักสำหรับบริการดังกล่าว (จะถูกส่งแบบต่อเฟรมที่จุดเริ่มต้นของแต่ละเฟรม) ฉันผิดที่คิดว่าบริการดังกล่าวยังคงสามารถใช้กุญแจเพื่อเปิดโปงแก้ไขและปิดบังเนื้อหาอีกครั้งก่อนที่จะผ่านเฟรมไปยังจุดถัดไปได้หรือไม่? ถ้าฉันไม่ผิดวิธีนี้จะแก้ไขช่องโหว่ที่ควรทำอย่างไร

10 security  protocol  websockets 

บ่อยครั้งที่สิ่งที่ปรากฏต่อผู้ใช้ (เช่นบนหน้าเว็บ) จะขึ้นอยู่กับการตรวจสอบความปลอดภัยเป็นส่วนหนึ่ง ฉันมักจะพิจารณาความปลอดภัยระดับผู้ใช้ / ACL เป็นส่วนหนึ่งของตรรกะทางธุรกิจของระบบ หากมุมมองตรวจสอบความปลอดภัยอย่างชัดเจนเพื่อแสดงองค์ประกอบ UI แบบมีเงื่อนไขจะเป็นการละเมิด MVC โดยมีตรรกะทางธุรกิจหรือไม่

10 web-development  design-patterns  security  mvc 

ที่มหาวิทยาลัยในท้องถิ่นของฉันมีสโมสรคอมพิวเตอร์ขนาดเล็กสำหรับนักเรียนประมาณ 20 คน สโมสรมีทีมเล็ก ๆ หลายแห่งที่มุ่งเน้นเฉพาะด้านเช่นการพัฒนาอุปกรณ์เคลื่อนที่หุ่นยนต์การพัฒนาเกมและการแฮ็ค / การรักษาความปลอดภัย ฉันแนะนำแนวคิดการพัฒนาแบบเปรียวเบื้องต้นให้กับทีมสองกลุ่มเช่นเรื่องราวของผู้ใช้การประเมินความซับซ้อนของงานและการรวมอย่างต่อเนื่องสำหรับการควบคุมเวอร์ชันและการสร้าง / ทดสอบอัตโนมัติ ฉันคุ้นเคยกับวงจรชีวิตการพัฒนาขั้นพื้นฐานบางอย่างเช่น Waterfall, Spiral, RUP, เปรียว ฯลฯ แต่ฉันสงสัยว่ามีสิ่งใดที่เป็นวงจรการพัฒนาซอฟต์แวร์สำหรับการแฮ็ค / การเจาะระบบรักษาความปลอดภัย แน่นอนแฮกเกอร์กำลังเขียนรหัสคอมพิวเตอร์ แต่วงจรชีวิตของรหัสนั้นคืออะไร ฉันไม่คิดว่าพวกเขาจะกังวลเกี่ยวกับการบำรุงรักษามากเกินไปเมื่อพบการละเมิดและแก้ไขแล้วรหัสที่ใช้ประโยชน์จากการละเมิดนั้นไม่ได้ผล ฉันคิดว่าวงจรชีวิตจะเป็นเช่น: ค้นหาช่องว่างในความปลอดภัย ใช้ประโยชน์จากช่องว่างในการรักษาความปลอดภัย จัดหา payload ใช้ประโยชน์จากส่วนของข้อมูล มีความแตกต่างอะไรบ้าง (ถ้ามี) สำหรับวงจรการพัฒนาของซอฟต์แวร์เมื่อจุดประสงค์ของผลิตภัณฑ์คือการละเมิดความปลอดภัย?

10 development-process  security  hacking  sdlc 

ฉันอ่านมากเกี่ยวกับ OAuth2 พยายามที่จะเอาหัวไปรอบ ๆ แต่ฉันก็ยังสับสนอยู่ดี ฉันเข้าใจว่าลูกค้าอนุญาตกับผู้ให้บริการ OAuth (Google เป็นต้น) และอนุญาตให้เซิร์ฟเวอร์ทรัพยากรสามารถเข้าถึงข้อมูลโปรไฟล์ของผู้ใช้ได้ จากนั้นไคลเอ็นต์สามารถส่งโทเค็นการเข้าถึงไปยังเซิร์ฟเวอร์ทรัพยากรและได้รับกลับทรัพยากร แต่สิ่งที่ดูเหมือนจะไม่ครอบคลุมในเอกสารใด ๆ คือสิ่งที่เกิดขึ้นเมื่อแอปไคลเอนต์ถามเซิร์ฟเวอร์ทรัพยากรเพื่อหาทรัพยากรและส่งผ่านโทเค็นการเข้าถึง ทุกสิ่งที่ฉันได้อ่านมาจนถึงตอนนี้ระบุว่าเซิร์ฟเวอร์ทรัพยากรเพิ่งตอบสนองกับทรัพยากรที่ร้องขอ แต่ดูเหมือนว่าจะเป็นช่องโหว่ขนาดใหญ่เซิร์ฟเวอร์ทรัพยากรจะต้องตรวจสอบโทเค็นการเข้าถึงมิฉะนั้นฉันสามารถปลอมคำขอเก่า ๆ และส่งโทเค็นเก่าที่ถูกขโมยปลอมหรือสุ่มและมันก็จะยอมรับมัน ทุกคนสามารถชี้ให้ฉันได้อย่างง่ายดายที่จะทำตามคำอธิบายของ OAuth2 เพราะจนถึงตอนที่ฉันได้อ่านรู้สึกไม่สมบูรณ์

10 security  oauth2 

ฉันได้อ่านวรรณกรรมเกี่ยวกับความปลอดภัยโดยเฉพาะการรักษาความปลอดภัยด้วยรหัสผ่าน / การเข้ารหัสและมีสิ่งหนึ่งที่ฉันสงสัยว่า: กฎ 3-Strike เป็นโซลูชั่นที่สมบูรณ์แบบสำหรับความปลอดภัยของรหัสผ่านหรือไม่? นั่นคือถ้าจำนวนครั้งของการพยายามใช้รหัสผ่านถูก จำกัด ไว้ที่จำนวนเล็กน้อยบางส่วนหลังจากที่การร้องขอการรับรองความถูกต้องทั้งหมดจะไม่ได้รับเกียรตินั่นจะไม่ปกป้องผู้ใช้จากการบุกรุกหรือไม่ ฉันรู้ว่าการเข้าถึงหรือควบคุมบางสิ่งไม่ได้หมายความว่าจะผ่านระบบการตรวจสอบสิทธิ์เสมอไป แต่คุณสมบัตินี้ไม่ได้ทำให้การโจมตีแบบพจนานุกรม / การโจมตีแบบเดรัจฉานล้าสมัยหรือไม่ มีบางอย่างที่ฉันขาดหายไปหรือไม่?

10 security 

ฉันกำลังพัฒนาเว็บแอปพลิเคชันโดยมุ่งเน้นที่ความปลอดภัย มาตรการใดบ้างที่สามารถป้องกันผู้ที่ทำงานกับแอปพลิเคชั่น (โปรแกรมเมอร์, DBAs, เจ้าหน้าที่ประกันคุณภาพ) ไม่ให้จับภาพค่าที่ผู้ใช้ป้อนซึ่งควรได้รับการปกป้องอย่างดีเช่นรหัสผ่านหมายเลขประกันสังคมและอื่น ๆ

10 security 

ปิด. คำถามนี้เป็นคำถามปิดหัวข้อ ไม่ยอมรับคำตอบในขณะนี้ ต้องการปรับปรุงคำถามนี้หรือไม่ อัปเดตคำถามเพื่อให้เป็นหัวข้อสำหรับ Software Engineering Stack Exchange ปิดให้บริการใน4 ปีที่แล้ว มัลแวร์ใช้เทคนิคที่น่าสนใจเพื่อซ่อนตัวเองจากซอฟต์แวร์ป้องกันมัลแวร์และอื่น ๆ พวกเขาสามารถ "polymorph" ตัวเอง: จริงเปลี่ยนรหัสในขณะที่มันยังคงหมายถึงเหมือนกันมากกับเครื่องที่ดำเนินการทำให้คำจำกัดความของโปรแกรมป้องกันไวรัสที่ไม่ถูกต้อง ฯลฯ ฉันสงสัยว่ามีอะไรนักพัฒนา (ไม่ประสงค์ร้าย) สามารถเรียนรู้จากการศึกษาแหล่งที่มาของสิ่งนั้นหรือย้อนกลับพวกเขาและศึกษาสิ่งที่คุณได้รับจากกระบวนการนั้นหากแหล่งที่มานั้นไม่มีอยู่นั่นอาจเป็นประโยชน์ภายนอก (มืด) ดินแดน ฉันไม่สนใจเขียนมัลแวร์ (อย่างน้อยไม่ใช่เพื่อการศึกษา) คำถามนี้ไม่ได้มีไว้เพื่อเป็นคำถามเกี่ยวกับวิธีการเขียนมัลแวร์หรือสิ่งนั้น แต่สิ่งที่คุณสามารถเรียนรู้จากมัลแวร์ที่เขียนแล้ว นอกจากนี้อาจผิดจรรยาบรรณเล็กน้อย (ฉันหวังว่าจะไม่) จะมีผลกำไรจากการเขียนมัลแวร์ของคุณเองเพียงเพื่อความเข้าใจที่ดีขึ้นเกี่ยวกับช่องโหว่ / ช่องโหว่ / การรักษาความปลอดภัยหรือระบบปฏิบัติการพื้นฐานหรือไม่?

10 learning  security 

ฉันเคยได้ยิน บริษัท รักษาความปลอดภัยที่ปรึกษาเรื่องความปลอดภัยของระบบลูกค้า ทุกคนที่ฉันรู้จักในสาขานี้เป็นวิศวกรเครือข่าย แต่ฉันรู้ว่าโปรแกรมเมอร์มีส่วนร่วมในการรักษาความปลอดภัยเช่นกัน โปรแกรมเมอร์ความปลอดภัยที่ทำหน้าที่ตรวจสอบ / ให้คำปรึกษาทำอะไรได้บ้าง? พวกเขาผ่าน codebase ที่กำลังมองหาช่องโหว่ในระบบดั้งเดิมของผู้คนหรือไม่? ฉันสันนิษฐานเสมอว่าเป็นสิ่งที่พวกเขาทำ แต่ดูเหมือนว่าสิ่งนี้จะไม่น่าเชื่อถือสูงและไม่ได้ทำอะไรมากไปกว่าการให้ความปลอดภัยที่ผิดพลาด หมายเหตุ: ฉันไม่ได้พูดถึงโปรแกรมเมอร์ที่เขียนอัลกอริธึมการเข้ารหัสหรืออะไรทำนองนั้นเฉพาะผู้ที่เกี่ยวข้องกับการตรวจสอบ / ให้คำปรึกษาด้านความปลอดภัยของซอฟต์แวร์

10 security  freelancing 

ฉันต้องออกแบบ "วิดเจ็ต" สคริปต์ที่พันธมิตรจะฝังไว้ในเว็บไซต์ของพวกเขาเพื่อแสดง UI และโทรหา API ของเรา โดยพื้นฐานแล้วมันจะแสดงข้อมูลของเราในเว็บไซต์เหล่านี้โดยอ้างอิงจาก ID บางรหัสที่พวกเขาให้ไว้ในการเรียก API สิ่งที่เราต้องการหลีกเลี่ยงคือมีคนใช้ API ในทางที่ผิดและใช้ขูดแคตตาล็อกทั้งหมดของเรา พันธมิตรแต่ละรายที่ฝังสคริปต์ของเราจะได้รับกุญแจสาธารณะที่จะต้องให้เมื่อเรียก API แนวคิดจะขอให้พวกเขาต่อท้ายคีย์นี้เมื่อโหลดสคริปต์เช่น: <script src="//initrode.com/widget/loader.js?key=xxxx"></script> ด้วยวิธีนี้คำขอสำหรับสคริปต์สามารถใช้ในการลงทะเบียนคู่ของคีย์ / แหล่งที่มา IP และตอบรับการเรียก API ที่ตามมาเฉพาะในกรณีที่คู่คีย์ / IP ตรงกับคู่ที่ลงทะเบียนแล้ว (มีอายุการใช้งาน จำกัด และ จำกัด คำขอต่อวัน) ฉันไม่แน่ใจว่าเป็นความคิดที่ดีเพราะเห็นได้ชัดว่าการรักษาความปลอดภัยด้วยการทำให้งงงวย (มีคนโหลดสคริปต์จะข้ามมันอย่างสมบูรณ์); แต่ฉันไม่เห็นวิธีอื่น ๆ ในการ จำกัด การเข้าถึง ฉันไม่สามารถให้รหัสที่ไม่ซ้ำกับผู้ใช้ทุกคนเฉพาะกับพันธมิตร ฉันไม่สามารถใช้ระบบกุญแจส่วนตัวได้เนื่องจากทุกรหัสจะมีให้สำหรับทุกคน โดยทั่วไปจะ จำกัด การเข้าถึง API สาธารณะเช่นขัดแย้งกับคำจำกัดความ คุณคิดอย่างไรกับวิธีนี้และคุณจะทำอย่างไรกับข้อ จำกัด …

10 security  api-design  web-api