소프트웨어 공학 security

4

웹 사이트에서 다음과 같은 메시지로 로그인 시도 실패를 기록하기 시작했습니다. Failed login attempt by qntmfred 이 로그 중 일부가 다음과 같이 보입니다. Failed login attempt by qntmfredmypassword 일부 사용자는 사용자 이름 필드에 사용자 이름과 비밀번호를 입력하여 로그인에 실패한 것 같습니다. 암호는 데이터베이스에서 해시되지만 DB가 손상된 경우 이러한 로그 메시지는 공격자가 …

38 web-development security

5

브라우저에서 JavaScript를 해킹하는 것이 얼마나 쉬운가요?

내 질문은 JavaScript 보안과 관련이 있습니다. Backbone 또는 AngularJS 와 같은 JavaScript 프레임 워크를 사용하고 보안 엔드 포인트가 필요한 인증 시스템을 상상해보십시오 . 서버에는 항상 마지막 단어가 있으며 원하는 작업을 수행 할 권한이 있는지 확인하므로 문제가되지 않습니다. 그러나 서버를 사용하지 않고 약간의 보안이 필요한 경우 어떻게해야합니까? 가능합니까? 예를 들어, 클라이언트 …

37 javascript security browser hacking

14

경쟁 업체 사이트에서 취약점을 발견하면 어떻게해야합니까?

회사의 프로젝트를 진행하는 동안 사용자가 경쟁 업체 사이트에서 데이터를 가져 오거나 내보낼 수있는 기능을 구축해야했습니다. 이를 수행하는 동안 경쟁 업체 웹 사이트에서 스크립트를 수행 할 수있는 매우 심각한 보안 취약점을 발견했습니다. 저의 자연스러운 느낌은 선의의 정신으로 문제를보고하는 것입니다. 이점을 얻기 위해이 문제를 악용하는 것은 제 생각을 넘어 섰지 만 그 …

37 business security ethics vulnerabilities

19

소프트웨어의 불법 복제를 어떻게 방지합니까? [닫은]

불법 복제로부터 소프트웨어를 보호하는 것이 여전히 가치가 있습니까? 불법 복제를 방지하거나 최소한 어렵게 만드는 효과적인 방법이 있습니까?

37 security

14

클라이언트가 암호를 검색하는 기능이 필요한 경우 어떻게합니까?

나는 현재 직장에서 응용 프로그램을 상속 받았으며 당황스럽게도 데이터베이스에 저장된 사용자 암호는 사내 암호화 기능을 사용하여 암호화되며 해독 기능도 포함되어 있음을 깨달았습니다. 따라서 사용자가 실제로해야 할 일은 사용자 테이블을 복사하고 암호화 어셈블리 (데이터베이스 프로덕션 액세스 권한이있는 사람)를 복사하는 것입니다. 그러면 10 만 개의 전자 메일 주소와 잠재적 인 암호에 액세스 …

34 security client-relations passwords

6

개발자의 랩톱에 중요한 데이터베이스를 저장하기위한 좋은 보안 방법은 무엇입니까?

우리는 몇 가지 주어진 것들이 있습니다 : 개발자는 머신에 프로덕션 데이터베이스의 복제본이 필요합니다. 개발자는 App.config 파일에서 해당 데이터베이스의 비밀번호를 갖습니다. 우리는 상기 데이터베이스의 데이터가 손상되는 것을 원하지 않습니다. 몇 가지 제안 된 솔루션 및 단점 : 전체 디스크 암호화. 이것은 모든 문제를 해결하지만 랩탑의 성능을 저하 시키며 우리는 신생 기업이므로 …

33 database security

4

다른 사용자에게 속한 리소스에 대해 MVC / REST가 403 또는 404를 반환해야합니까?

리소스 기반 사이트 (예 : MVC 응용 프로그램 또는 REST 서비스)를 사용 GET하는 경우 클라이언트가 액세스 할 수없는 리소스에 클라이언트를 시도 할 때 두 가지 주요 옵션 이 있습니다. 403 은 클라이언트가 인증되지 않았다고 말한다 ; 또는 404 는 리소스 가 존재하지 않거나 찾을 수 없음을 나타냅니다. 일반적인 지혜와 관행은 …

33 web-development web-applications security web-services privacy

6

로컬 스토리지는 얼마나 안전합니까?

문제는 모든 것을 실제로 말합니다. 서비스를 제공하고 싶지만 데이터를 데이터베이스에 직접 저장하고 싶지 않습니다. 해킹 등의 모든 최신 뉴스를 통해 고객이 데이터를 완벽하게 제어하는 것이 더 좋을 것 같습니다. 문제는 저장된 데이터가 잠재적으로 민감하다는 것입니다. 내가하려고했던 것은 ... 고객이 웹 사이트를 방문 할 때 '개인용 컴퓨터 나 공용 컴퓨터를 사용하고 …

33 javascript security

6

기존 사용자를 위해 새 비밀번호를 강요하지 않고 비밀번호 해싱 업데이트

기존 사용자 기반으로 기존 응용 프로그램을 유지 관리합니다. 시간이 지남에 따라 현재 암호 해싱 기술이 오래되어 업그레이드해야한다고 결정됩니다. 또한 UX 이유로 인해 기존 사용자가 자신의 비밀번호를 강제로 업데이트하는 것을 원하지 않습니다. 전체 비밀번호 해싱 업데이트는 화면 뒤에서 수행해야합니다. 다음을 포함하는 사용자를위한 '단순한'데이터베이스 모델을 가정하십시오. 신분증 이메일 암호 그러한 요구 사항을 …

32 security language-agnostic passwords

5

신뢰할 수없는 코드 실행을위한 모범 사례

사용자가 내 서버에 대해 신뢰할 수없는 임의의 파이썬 코드 ( 이와 비슷한 비트 ) 를 실행할 수 있도록 해야하는 프로젝트가 있습니다. 저는 파이썬을 처음 접했고 시스템에 보안 허점이나 다른 취약점을 일으키는 실수를 피하고 싶습니다. 내 서비스를 유용하게 사용할 수 있지만 남용하지 않도록 할 수있는 모범 사례, 권장 사항 또는 기타 …

31 python security web-services

14

십대들에게 소프트웨어 바이러스에 대해 가르치는 것이 윤리적인가? [닫은]

나는 아들의 중학교에서 방과후 컴퓨터 클럽을 가르치기 위해 자원했다. 컴퓨터 바이러스에 많은 관심이있었습니다. 나는 같은 디렉토리에있는 다른 배치 파일을 감염시키는 간단한 배치 파일 바이러스를 만드는 방법을 보여 주려고 생각했습니다. 또한 같은 이름으로 배치 파일을 작성하는 방법을 보여 주지만 경로에 더 가까워 다른 프로그램을 대체 할 수 있습니다. 또한 바이러스 및 …

31 security ethics

3

JSON 웹 토큰-페이로드가 공개되는 이유는 무엇입니까?

JWT의 클레임 / 페이로드를 base64 디코딩 후 공개적으로 표시하는 이유를 이해할 수 없습니다. 왜? 비밀로 암호화하는 것이 훨씬 더 유용한 것 같습니다. 누군가가이 데이터를 공개하는 것이 왜 또는 어떤 상황에서 유용한 지 설명 할 수 있습니까?

30 security json authentication jwt

3

커널 모드 웹 서버 : 영리한 최적화 또는 보안 악몽?

한 사용자가 2011 년부터 IIS가 다른 (* nix) 웹 서버보다 훨씬 빠르다는 링크를 게시 하는 해커 뉴스 스레드를 읽었 습니다 . 또 다른 사용자는 IIS가 HTTP.sys라는 커널 모듈 을 사용하여 IIS가 이점을 얻는다고 설명하면서 대답 합니다 . 아시다시피, 2015 년에 가장 많이 사용되는 다른 웹 서버는 이것을하지 않습니다. 커널 모드 …

28 security operating-systems iis web-servers apache2

1

사양에 결함이있는 경우에도 계속 준수해야합니까?

본인은 고용주의 응용 프로그램 중 하나를 고객이 개발 한 외부 시스템에 통합하도록 개발했습니다. 보안과 관련된 몇 가지 명백한 결함이있는 통합에 대한 고객의 사양입니다. 이 결함으로 인해 권한이없는 사용자가 시스템에 액세스하여 제한된 데이터를 볼 수 있습니다. 결함이 설계대로 구현되고 결함이없는 대안을 제공한다면 결함과 잠재적 보안 위험을 지적했지만 클라이언트가 "우리가 지정한 방식대로"라고 …

28 architecture security ethics specifications

5

데이터 입력 검증-어디? 얼마나? [닫은]

폐쇄되었습니다 . 이 질문은 의견 기반 입니다. 현재 답변을받지 않습니다. 이 질문을 개선하고 싶습니까? 이 게시물 을 편집 하여 사실과 인용으로 답변 할 수 있도록 질문을 업데이트하십시오 . 휴일 육년 전 . 데이터 입력 유효성 검사는 항상 내부적 인 어려움이었습니다. 레거시 응용 프로그램 재 작성 프로젝트에 실제 보안 프레임 워크 …

28 development-process language-agnostic security data validation

«security» 태그된 질문