основы безопасности
18 статей с этим тегом
Что такое криптография с открытым ключом — шифрование и подпись парой ключей
Криптография с открытым ключом использует «открытый ключ» (его можно раздавать) и «закрытый ключ» (хранится только у владельца). То, что зашифровано открытым ключом, расшифровывается только парным закрытым, а подпись, сделанную закрытым ключом, можно проверить открытым. Эта асимметрия лежит в основе обмена ключами в TLS (HTTPS), цифровых подписей и passkey. Защита: не изобретайте свою криптографию (используйте стандартные протоколы и проверенные библиотеки), берегите закрытый ключ и умейте его отзывать, держите длину ключа и алгоритмы актуальными.
Что такое OWASP Top 10 — эталонный список 10 главных рисков веб-приложений
OWASP Top 10 — список, который некоммерческая организация OWASP публикует раз в несколько лет, «самые критичные риски веб-приложений». Это общий язык для разработчиков и тех, кто эксплуатирует системы. Актуальная редакция (2021) начинается с нарушения контроля доступа, за ним идут инъекции, ошибки конфигурации, уязвимые и устаревшие компоненты, сбои аутентификации и другое. Это КАТЕГОРИИ рисков, а не отдельные эксплойты — используйте их как оптику для аудита своего приложения.
Что такое GDPR — правила защиты данных ЕС и обязанность уведомлять об утечке
GDPR (General Data Protection Regulation) — всеобъемлющий свод правил ЕС по защите персональных данных людей в ЕС, и он может дотянуться до бизнеса за пределами ЕС, обслуживающего пользователей из ЕС. Он требует законного основания (например, согласия), чёткой цели, минимизации данных, прав субъекта данных (доступ/удаление) и уведомления надзорного органа об утечке (как правило, в течение 72 часов), с крупными штрафами за серьёзные нарушения. Технически суть такова: собирайте и храните только нужные персональные данные, защищайте их и умейте быстро обнаружить и сообщить об утечке.
Добавили вход и решили, что защищено? — аутентификация и авторизация
Аутентификация — проверка того, кто вы; авторизация — решение о том, что вам можно делать. Это разные вещи, и добавить вход — не значит настроить авторизацию. Без привязки данных к владельцу (user_id) получается «вошёл = видит все данные» — Broken Access Control, которую OWASP ставит на первое место. Добавьте открытую форму регистрации из scaffold — и посторонний зарегистрируется и попадёт внутрь. Защита: привязывайте каждый запрос к владельцу, закрывайте ненужную регистрацию, стройте эшелонированную оборону, ведите аудит и логи доступа до инцидента, отслеживайте новые регистрации.
Как люди хранят пароли? Что показывают данные — и безопасный способ
Репрезентативные опросы показывают, что ~54% полагаются на память, ~33% записывают пароли на бумаге и лишь ~36% используют специализированный менеджер паролей — при этом ~25% переиспользуют пароли. Тем временем DBIR от Verizon выявил, что компрометация учётных данных участвовала в ~38% утечек, а ~74% паролей в данных утечек были переиспользованы. Коротко: популярные привычки хранения — это ровно то, что эксплуатируют атакующие. Безопасный фундамент — менеджер (уникальный пароль на каждый сайт) плюс passkey/MFA на ключевых аккаунтах.
Безопасность для эпохи ИИ: что закрыть прямо сейчас (приоритетный чек-лист)
ИИ в основном усиливает атаки на СУЩЕСТВУЮЩИЕ слабые места (незакрытые CVE, повторно используемые пароли, открытые секреты), а не изобретает новые — найденные автоматически, быстро, в масштабе. Поэтому лучшая подготовка — закрыть основы в правильном порядке: закрытие CVE + мониторинг зависимостей, искоренение повторного использования + MFA, удаление открытых секретов, минимум привилегий, сокращение публичной поверхности, логи/IOC, резервные копии.
Что работает (и что нет) для безопасности эпохи ИИ — почему по малым сайтам тоже бьют
Четыре мифа эпохи ИИ развенчаны: (1) слишком мал, чтобы стать целью → автоматизация убирает «человек выбирает вас»; (2) нужен особый новый механизм → основы по-прежнему побеждают; (3) продукт делает вас безопасными → проектирование профилактики раньше обнаружения; (4) код от ИИ быстрый, значит безопасный → он выходит с уязвимостями, проверяйте перед публикацией. Работают скучные основы в правильном порядке.
Как правильно выбирать MFA: что значит «устойчивый к фишингу» и почему SMS слаб
MFA — это второй замок, чтобы один лишь утёкший пароль не пустил внутрь, но то, что вы включаете, меняет его силу по трём уровням. Коды SMS/email падают перед релейным фишингом и SIM-swap; приложения-аутентификаторы (TOTP) — средний уровень; passkey/аппаратные ключи (FIDO2) вообще нельзя предъявить поддельному сайту — это и есть устойчивость к фишингу. Высший приоритет: поставьте устойчивый к фишингу MFA на ключи от королевства (почта, домен, платежи). Хранение кодов восстановления и наличие резервного фактора завершают настройку.
Основы резервного копирования: правило 3-2-1 и план восстановления, переживающий программу-вымогатель
«У меня есть резервная копия» недостаточно — настоящей является только та копия, восстановление из которой вы проверили. Основа: правило 3-2-1 (три копии, два типа носителей, одна вне площадки). Против программы-вымогателя также нужна хотя бы одна «офлайновая или неизменяемая» копия — постоянно подключённая копия шифруется вместе с оригиналом. Облачная синхронизация — не резервная копия (она тиражирует и удаления, и шифрование). Версионирование и периодический тест восстановления завершают практику.
Всё ещё на Windows 10? Риски безопасности после окончания поддержки
Windows 10 достигла окончания поддержки 14 октября 2025 года. Главный риск дальнейшего использования в том, что вновь найденные дыры никогда не патчатся (вечные уязвимости) и накапливаются, делая машину излюбленной мишенью. Потребительская ESU — это одногодичная заглушка только для безопасности до 13 октября 2026 года (бесплатные пути регистрации есть, но бесплатный первый год EEA не действует в большинстве регионов). Настоящее исправление — переход на Windows 11 или замена оборудования; используйте ESU лишь как мост до завершения миграции.
Защита ноутбука, который вы носите с собой — от кражи, потери и подглядывания через плечо
Носить ноутбук — значит исходить из того, что вы его потеряете или его украдут. Настоящая защита спроектирована так, чтобы потеря не привела к утечке содержимого: шифрование диска (BitLocker/FileVault), надёжный вход с короткой автоблокировкой и удалённое стирание/поиск. С повсеместным HTTPS перехват в публичном Wi-Fi менее приоритетен; реальные угрозы — поддельные точки доступа, подглядывание через плечо и отход от устройства. Не переоценивайте VPN — сначала укрепите устройство.
Безопасны ли менеджеры паролей? Как они работают, облако vs локально и как выбрать
Менеджер паролей безопаснее переиспользования или хранения открытым текстом. Ключ — шифрование с нулевым разглашением: ваш мастер-пароль расшифровывает хранилище только на вашем устройстве, провайдер держит только шифртекст, поэтому взлом провайдера не раскрывает ваши пароли. Настоящая единая точка — это ваш мастер-пароль плюс MFA на хранилище. Выбирайте облако (Bitwarden/1Password) или локально (KeePass) по применению.
Опасности публичного Wi-Fi — настоящий риск не «прослушка», а злые двойники и игнор предупреждений о сертификате
«Прослушка» публичного Wi-Fi в основном смягчена HTTPS и теперь менее приоритетна. Настоящие риски — (1) самому подключиться к поддельной точке доступа «злому двойнику», (2) проигнорировать предупреждение о сертификате и (3) выставить своё устройство в общую сеть. Сильнейшее средство на удивление простое — используйте раздачу с телефона, доверяйте HTTPS и предупреждениям о сертификате и не подключайтесь автоматически к неизвестным SSID. VPN — следующий слой.
Базовая безопасность для инди-разработчиков и малых операторов: весь стандартный набор
База — это не «всё одинаково важно». Порядок приоритета этого сайта: 1) ключи от королевства (MFA, домен, почта), 2) секреты и код, 3) само приложение, 4) патчи, обнаружение, восстановление. При конечном времени заполняйте сверху вниз. Большинство серьёзных взломов происходит не из-за новых атак, а из-за пробела в этом фундаменте.
Базовая безопасность для средних и крупных организаций: стандартный фундамент для команд
В масштабе база смещается от «чек-листа» к «программам с владельцами». Порядок приоритета совпадает с инди-версией: 1) идентичность, 2) секреты и цепочка поставок, 3) приложение и инфраструктура, 4) обнаружение и реагирование, плюс сквозной слой людей и управления. Большое изменение: ведущая причина взломов смещается от оплошностей к людям, процессам, доступу уволенных и третьим сторонам.
Инвентаризация безопасности — 7 проверок, которые упускают владельцы нескольких серверов
Для одиночек/малых операторов инциденты происходят не столько из отсутствующих мер, сколько из неотслеживаемого состояния. Граница — это ПК, хранящий ваши ключи. Ранжируйте 2FA по корню доверия, составьте матрицу SSH-ключей, чтобы убить дубликаты/неиспользуемые/осиротевшие, уберите пароли открытым текстом из облака, устраняйте обратимо по одному и держите секреты вне реестра. Инвентаризация прежде добавления инструментов.
Основы безопасности смартфона — защита устройства, которое держит ваши ключи, хранилище и удостоверение в одном
Телефон концентрирует 2FA, почту, банкинг и удостоверение в одну единую точку отказа. Настоящая защита — не приложение безопасности: (1) сильная блокировка + короткая автоблокировка (код-пароль — это ключ шифрования); (2) автоматические обновления ОС/приложений; (3) официальный магазин + ревизия разрешений; (4) заранее настроить удалённую блокировку/стирание; (5) держать резерв вашей 2FA. iOS/Android уже шифруют и изолируют по умолчанию.
Безопасно ли хранить пароли в Google Drive? Как держать их правильно
Держать пароли в документе/таблице Google открытым текстом опасно: один аккаунт Google становится единой точкой отказа для каждого пароля — захват аккаунта, вредоносное подключённое приложение или фишинг утекают их все разом. Исправление — специализированный менеджер паролей (содержимое остаётся зашифрованным даже при синхронизации). Если вы обязаны использовать Drive, храните только зашифрованный файл хранилища и поставьте устойчивую к фишингу MFA на аккаунт.