#безопасность_приложений — Public Fediverse posts

Google: Борьба за безопасность или очередное выманивание денег!?

Ну вот и докатились. Многие уже, наверное, слышали о выходе очередных ограничений от компании Google для Android-разработчиков. На этот раз дело коснулось святая святых - независимых авторов, распространяющих свои приложения в обход официальной платформы Play Store. Под видом заботы о пользователях выраженной в обеспечении безопасности при распространении софта Google подложил неожиданную свинью. Что уж говорить о недавнем случае, когда Google, мягко говоря, кинул своих клиентов на деньги. Разработчики щедро оплачивали регистрацию в Google Console и публиковали свои разработки. Ничто не предвещало беды. Потом Google выкатил депешу - мол , необходимо пройти верификацию личности разработчика и прислать документы для подтверждения. Многие тогда были возмущены и в результате потеряли свои аккаунты. Google просто их заблокировал. Теперь для полноценного распространения приложений даже вне Google Store разработчикам необходимо пройти регистрацию в Android Developer Console. Основными требованиями стали предоставление личных документов, генерация хеша APK-файла, указание имени пакета и самое "вкусное" - оплата членского взноса в размере всё тех же 25 долларов США за эту самую регистрацию. В итоге, если раньше разработчики распространяли свои приложения вне Google Store бесплатно, теперь Google решил залезть в карман и к ним. Зачем Google это делает? Версия Google: Защита пользователей от вредоносного ПО, фишинга и клонов популярных приложений. Привязка к паспорту и хеш-файлу позволяет заблокировать злоумышленников "намертво", чтобы они не смогли создавать тысячи анонимных аккаунтов.

https://habr.com/ru/articles/1091720/

#безопасность_приложений #разработка_под_андроид #google_store

Валидатор не нашёл поле is_admin, а Go его нашёл: пять ошибок при работе с JSON

Один и тот же JSON может привести систему к разным выводам. Валидатор пропустит поле, которое Go‑сервис спокойно прочитает, nil ‑слайс превратится в неожиданный для клиента null , а ошибка в имени параметра останется незамеченной до самого продакшена. Разбираем пять случаев, где поведение encoding/json в Go способно создать расхождение между компонентами системы, и смотрим, что меняет переход на encoding/json/v2 . Узнать детали

https://habr.com/ru/companies/otus/articles/1076496/

#Go #Golang #JSON #API #backend #микросервисы #валидация_данных #сериализация #безопасность_приложений #разработка_ПО

Вайб-кодинг против ИБэшника. Несмертельная битва. Часть 2

Как специалист по безопасности получил доступ к панели администратора, почему старую версию пришлось остановить и как после этого мы заново построили защиту. Продолжение истории о человеке, искусственном интеллекте и безопасности Коротко о первой части Мы попросили ИИ написать систему защиты от утечек, много раз исправляли установку, сеть, блокировку сайтов, уведомления и внешний вид. Проект дошел до испытаний и выглядел почти готовым. Именно в этот момент специалист по безопасности решил проверить не красивую оболочку, а то, как программа отличает администратора от обычного пользователя.

https://habr.com/ru/companies/ntechlab/articles/1068020/

#вайбкодинг #искусственный_интеллект #информационная_безопасность #защита_от_утечек #разработка_программ #безопасность_приложений #аудит_кода #уязвимости #модель_угроз #цифровая_подпись

Praetorian: как мы сделали security-продукт для корпоративных чатов в Telegram и Max

Привет, Хабр! Рабочие обсуждения давно ушли из почты и таск-трекеров в мессенджеры. Там собирают проектные группы и каналы, координируют инциденты, кидают ссылки на внутренние системы, за минуту стягивают нужных людей в один чат. У нас это в первую очередь корпоративные группы и каналы в Telegram и Max. Это удобно, но с точки зрения безопасности — новая поверхность риска. Как только группа или канал становится частью бизнес-процесса, он тянет за собой и все риски этого процесса: фишинг, социальную инженерию, вредоносные ссылки, угон аккаунтов, утечки, заброшенные чаты, участников, которых давно пора убрать, и переписку, которую никто не чистит годами.

https://habr.com/ru/companies/mvideo/articles/1056458/

#иб #информационная_безопасность #безопасность #безопасность_в_сети #безопасность_данных #безопасность_вебприложений #безопасная_разработка #безопасность_мобильных_приложений #безопасность_приложений #безопасность_linux

Настройка SMTP-сервера IIS 6.0 на Windows Server 2019 с поддержкой TLS и аутентификации Negotiate

В статье представлена пошаговая инструкция, которая поможет вам настроить SMTP-сервер на Windows Server 2019 для работы с шифрованием TLS на порту 587 и аутентификацией по протоколу Negotiate.

https://habr.com/ru/articles/1047958/

#smtpсервер #negotiate #тестирование #обеспечение_качества #software_testing #quality_assurance #qa #тестирование_по #инжиниринг_качества #безопасность_приложений

AI не убил разработчиков. Он сделал дешёвой видимость разработки

«Я собрал приложение за вечер. Разработчики больше не нужны». Лента забита такими постами, но мало кто показывает продолжение этих историй. А оно бывает ярким: от продовской базы, снесённой AI-агентом, до взлома на второй день после запуска. По красивой картинке больше не понять, кто её собрал — инженер или человек, который научился красиво писать промпты. Разбираемся, почему рынок ослеп, при чём тут верстальщики на Tilda и что с этим делать бизнесу и инженерам.

https://habr.com/ru/articles/1045632/

#вайбкодинг #ai_разработка #нейросети_в_разработке #AI_MVP #будущее_программирования #искусственный_интеллект_разработка #программирование #безопасность_приложений #архитектура_по #вайбкодер

Утопали в дефектах, пока собирали «единое окно»

«У нас было два пакета findings SAST’а, семьдесят пять CVE с критичностью — Critical, пять дублей одной и той же CVE в разных сервисах, пол солонки false positive и целая россыпь уязвимостей всех сортов и расцветок: SQLi, XSS, SSRF, RCE, IDOR, утекшие секреты, misconfigs в Kubernetes, написанные человеком, который явно не планировал дожить до аудита. Кроме того, у нас были изменения, сгенерированные AI-ассистентами, забытые исключения в проверках доступа, временные обходные решения, давно ставшие частью архитектуры, два отчета пентеста, тысячи задач и дашборд, который краснел так, будто видел все наши будущие инциденты сразу. Не то чтобы это был необходимый запас для управления безопасностью приложений, но если уж ты решил строить ASPM через агрегацию всего подряд, рано или поздно ты оказываешься именно в такой машине — на полной скорости, без карты, с разработчиками на заднем сидении, которые только и спрашивают: “Что из этого реально надо исправлять?”». Всем привет! Меня зовут Артем Пузанков, я руководитель отдела консалтинга безопасной разработки в Бастионе. Сегодня хотелось бы порефлексировать с вами про управление состоянием безопасности приложений, ASPM, AI-generated код и AppSec. Эта статья о том, почему будущее ASPM не в том, чтобы собрать все дефекты в «единое окно», а в том, чтобы сопоставить обнаруженные находки, проверить достижимость и отделить реальные угрозы от шума (читай технического долга).

https://habr.com/ru/companies/bastion/articles/1031884/

#aspm #devsecops #application_security #ssdlc #безопасная_разработка #информационная_безопасность #AI_в_кибербезопасности #управление_уязвимостями #безопасность_приложений

Как мы в CodeScoring модель для поиска секретов готовили

Расскажем, как нам удалось повысить качество определения истинных секретов в результатах сканирования кода с 0.70 до 0.90 PR AUC с помощью LLM.

https://habr.com/ru/companies/codescoring/articles/1019956/

#secrets #security #ml #ai #codescoring #llm #безопасность #безопасность_приложений #секреты #devsecops

Nginx за барной стойкой: три кейса, когда прокси спасает ситуацию

Привет, Хабр! На связи Аскар Добряков, ведущий эксперт направления защиты данных и приложений в

https://habr.com/ru/companies/k2tech/articles/1018218/

#nginx #waf #authentication #безопасность_приложений #прокси #cachecontrol

Voters в Symfony

Привет, Хабр! В каждом проекте рано или поздно появляется логика вида «этот пользователь может редактировать этот пост, а тот нет». И начинается: if ($post->getAuthor() === $currentUser) в контроллерах, в сервисах, в шаблонах. Копипаста расползается, а потом приходит новое требование — «модератор тоже может редактировать, но только в своей категории» — и вы бегаете по двадцати файлам, молясь, что ничего не забыли. Symfony Voters — механизм, который выносит всю логику авторизации в одно место. Не аутентификации (тип кто ты?), а именно авторизации (что тебе можно?). Разберём, как это работает. Разобраться в Voter

https://habr.com/ru/companies/otus/articles/1013732/

#symfony #Voter #авторизация #права_доступа #безопасность_приложений #PHP #роли_пользователей #access_control #архитектура_приложения #бизнеслогика

Linux Landlock — песочница для приложений без root

Landlock — редкий для Linux случай, когда «песочницу» можно включить руками самого приложения: без root, без километров политик и с понятной логикой «по умолчанию запрещено всё». В этой статье разбираем, что это за LSM, какие три системных вызова нужны, как выбрать минимальный набор прав и почему открытые до ограничений файловые дескрипторы способны тихо обнулить всю задумку. Открыть разбор

https://habr.com/ru/companies/otus/articles/1001910/

#Landlock #песочница_приложений #Linux #sandboxing #безопасность_приложений #ограничение_прав #системные_вызовы

Введение в DAST, SAST, SCA, IAST и RASP: Гид по инструментам безопасности

Безопасность приложений — это не опция, а необходимость в современной разработке. С ростом числа кибератак и утечек данных разработчики и команды безопасности нуждаются в надежных инструментах для выявления уязвимостей на всех этапах жизненного цикла разработки программного обеспечения (SDLC). В этой статье мы рассмотрим основные категории инструментов безопасности приложений: DAST (Dynamic Application Security Testing), SAST (Static Application Security Testing), SCA (Software Composition Analysis) и IAST/RASP (Interactive/Runtime Application Security Protection). Мы разберем их назначение, преимущества и недостатки, а также предоставим список бесплатных инструментов, которые можно интегрировать в вашу инфраструктуру разработки.

https://habr.com/ru/articles/988468/

#безопасность_вебприложений #безопасность_сайтов #безопасность #безопасность_приложений #сканирование #уязвимости #инструменты_для_вебразработки #инструменты_мониторинга #инструменты #инструменты_хакера

Что показали в OWASP Top Ten 2025

Привет, Хабр! Меня зовут Дмитрий Бахтенков. С 2020 я занимаюсь коммерческой разработкой на .NET, а также пишу для медиа « вАЙТИ ». В сфере информационной безопасности существует множество уязвимостей, и разработчикам сложно понять, какие из них важнее учитывать при обучении или отладке процессов безопасной разработки.

https://habr.com/ru/companies/beeline_cloud/articles/984448/

#информационная_безопасность #owasp #уязвимости #appsec #безопасность_приложений #контроль_доступа #software_supply_chain_security #devsecops

Регуляторика РБПО. Итоги 2025 года

Привет, эксперты! В апреле мы завершили цикл обзорных статей действующей регуляторики РФ, которая прямо или косвенно отсылала бы нас к внедрению процессов и практик РБПО, а также посмотрели на будущие планы регуляторов. Наступил декабрь, пришла пора посмотреть, что произошло за год. С вами по-прежнему Альбина Аскерова, руководитель направления по взаимодействию с регуляторами в Swordfish Security. Спойлер: читать придется немного!

https://habr.com/ru/companies/swordfish_security/articles/977764/

#законодательство #информационная_безопасность #гост #нормативные_требования #безопасность_приложений #безопасная_разработка #devsecops #рбпо #регуляторика #требования_регуляторов

Регуляторика РБПО. Часть 5 – Ответственность, взгляд в будущее, инфографика всего обзора

Приветы после долгого перерыва! С вами Альбина Аскерова, руководитель направления по взаимодействию с регуляторами в Swordfish Security. Сегодня в завершающей статье по Регуляторике РБПО: - напомним о применимой законодательной ответственности, - расскажем, что сейчас в проектах у регуляторов на 2025 год, а что уже есть нового утвержденного, - покажем майндкарты регуляторики. В конце будет розыгрыш мерча, который обещали в 1 части 😊

https://habr.com/ru/companies/swordfish_security/articles/905168/

#безопасная_разработка #безопасность_приложений #регуляторика #devsecops #рбпо #гост #нормативные_требования #законодательство #требования_регуляторов #информационная_безопасность

ОУД4 — быстрый и удобный способ проведения оценки соответствия для финансовых организаций

Всем привет! Совсем недавно, 29 марта 2025 года, вступило в силу Положение банка России № 851-П, заменяющее Положение № 683-П. Одним из ключевых изменений документа является появление условий проведения оценки соответствия. В связи с этим в ближайшее время ожидается повышение спроса на проведение оценки соответствия по требованиям ОУД4. Эта статья содержит основные понятия, связанные с ОУД4, краткое описание требований регулятора и необходимых документированных свидетельств оценки и будет полезна аудиторам, разработчикам, менеджерам, а также всем тем, кто интересуется законодательством в ИБ. Будет здорово получить от вас обратную связь и конструктивную критику!

https://habr.com/ru/articles/896124/

#оуд4 #безопасность_приложений #финансовые_организации

Service Mesh в дикой природе или как не стать жертвой атак

Когда погружаешься в Service Mesh, кажется, что это волшебная штука, которая решает все проблемы. Но потом вспоминаешь, что безопасность сама себя не настроит, а уязвимости появляются там, где их меньше всего ждёшь. В статье разобрал всё это подробнее: - Какие ошибки в безопасности Service Mesh встречаются чаще всего; - Как атакуют Istio и Linkerd, и почему mTLS — не панацея; - Какие практики реально работают, а какие просто звучат красиво. С примерами, кейсами и полезными ссылками, чтобы не наступать на чужие грабли. Вникнуть

https://habr.com/ru/articles/893938/

#микросервисы #микросервисная_архитектура #безопасность_приложений

AppSec 2025: тренды, которые будут популярны, и методы, которые уйдут в прошлое

К 2025 году безопасность приложений перестает быть просто технической необходимостью — она становится стратегическим приоритетом для бизнеса. С ростом облачных технологий, искусственного интеллекта и постоянной автоматизации процессов эволюционируют и угрозы, а традиционные методы защиты не всегда эффективны. В этой статье мы обсудим тренды в AppSec, которые будут задавать тон в 2025 году, а также рассмотрим практики, которые утратят свою актуальность.

https://habr.com/ru/companies/ussc/articles/891582/

#информационная_безопасность #безопасность_вебприложений #безопасная_разработка #нормативные_требования #облачные_технологии #оркестраторы #безопасность_приложений #appsec #атаки #управление_рисками_иб

Spring Boot Filter. Введение в фильтрацию запросов

Привет, меня зовут Николай Пискунов , я руководитель направления Big Data и автор медиа вАЙТИ . В этой статье поговорим о фильтрации запросов.

https://habr.com/ru/companies/beeline_cloud/articles/873284/

#spring_boot #фильтрация_запросов #backend #логирование #безопасность_приложений #http #middleware #производительность_приложений #обработка_данных #архитектура_приложений

Небезопасная десериализация в PHP: Как создать собственный эксплойт

Привет, Хабр! Сегодня мы познакомимся с уязвимостями небезопасной десериализации в PHP, научимся писать эксплойты для эксплуатации уязвимости в рамках тестирований на проникновение и попробуем себя в анализе кода.

https://habr.com/ru/companies/jetinfosystems/articles/865802/

#php #кибербезопасность #уязвимости #десериализация #пентестинг #эксплойты #rce #phar #инъекция #безопасность_приложений

Регуляторика РБПО. Часть 4 – Требования к ГИС, ИСПДн, отраслевые требования

Привет, эксперты! Сегодня переходим к 4-ой части нашего обзора регуляторики практик разработки безопасного ПО (РБПО). На повестке у нас требования к государственным информационным системам (ГИС) и информационным системам обработки персональных данных (ИСПДн), а также немного отраслевых требований.

https://habr.com/ru/companies/swordfish_security/articles/857646/

#информационная_безопасность #требования_законодательства #нормативные_требования #нормативные_документы #безопасность_приложений #безопасная_разработка #devsecops #регуляторика #требования_регуляторов

Регуляторика РБПО. Часть 4 – Требования к ГИС, ИСПДн, отраслевые требования

Привет, эксперты! Сегодня переходим к 4-ой части нашего обзора регуляторики практик разработки безопасного ПО (РБПО). На повестке у нас требования к государственным информационным системам (ГИС) и информационным системам обработки персональных данных (ИСПДн), а также немного отраслевых требований.

https://habr.com/ru/companies/swordfish_security/articles/857644/

#информационная_безопасность #требования_законодательства #нормативные_требования #нормативные_документы #безопасность_приложений #безопасная_разработка #devsecops #регуляторика #требования_регуляторов

Регуляторика РБПО. Часть 3 – Требования к КИИ (и немного ASPM)

Доброго дня, уважаемые! Идём по плану и сегодня делаем обзор требований регуляторов к практикам разработки безопасного ПО (РБПО) для отраслей, относящихся к критической информационной инфраструктуре. Такой регуляторики немного, пройдемся быстро.

https://habr.com/ru/companies/swordfish_security/articles/854476/

#законодательство #информационная_безопасность #нормативные_требования #нормативные_документы #безопасность_приложений #безопасная_разработка #devsecops #регуляторика #требования_регуляторов #требования_законодательства

Что значит «SafeCode»: о чём расскажут на конференции по безопасности приложений

«Безопасный код» — понятие широкое. Так что по названию онлайн-конференции

https://habr.com/ru/companies/jugru/articles/853514/

#safecode #безопасность_приложений #application_security #appsec

Регуляторика РБПО. Часть 2 – Требования в финансовой отрасли

Всем привет! С вами Альбина Аскерова, руководитель направления по взаимодействию с регуляторами в Swordfish Security. Мы продолжаем цикл статей, посвященный регуляторике разработки безопасного ПО (РБПО). Первая статья об общих требованиях доступна по ссылке (там же можно увидеть, что планируется в следующих материалах). Сегодня пройдемся по требованиям к компаниям из финансовой отрасли. Напомню, мы рассматриваем всю регуляторику, которая касается ИБ и процесса безопасной разработки, а также ту, которую можно частично выполнить внедрением практик DevSecOps. Кратко не получится, так как у Банка России (БР) нашли 13 действующих документов!

https://habr.com/ru/companies/swordfish_security/articles/851078/

#законодательство #безопасная_разработка #информационная_безопасность #гост #нормативные_требования #нормативные_документы #безопасность_приложений #требования_регуляторов #регуляторика #devsecops

Регуляторика РБПО. Часть 1 – Введение. Общие требования

Привет, уважаемые любители защищенных приложений! В нашем блоге мы привычно освещаем практические кейсы разработки безопасного ПО (РБПО), но заметили, что вас также интересует мир регуляторики. Понимаем, не осуждаем и поэтому сегодня открываем серию статей с обзором актуальных нормативных требований, которые касаются практик безопасной разработки или реализуются с помощью внедрения практик DevSecOps. Выясним, на какие отрасли распространяется регуляторика и какую юридическую ответственность она влечет за собой, а также рассмотрим тренды и прогнозы на ближайшее будущее.

https://habr.com/ru/companies/swordfish_security/articles/848272/

#безопасная_разработка #регуляторика #законодательство #нормативные_требования #нормотворчество #безопасность_приложений #информационная_безопасность #гост #нормативные_документы #требования_регуляторов

Что о безопасности приложений расскажут на SafeCode

В декабре мы представили Хабру нашу новую онлайн-конференцию SafeCode. А теперь, когда до неё осталось две недели и программа готова, можем подробнее рассказать, о чём именно будут доклады. Если ограничиться одной фразой, то на конференции подойдут к application security с разных сторон: от JavaScript до ассемблера, от DevSecOps до ML, от «уязвимости мобильных приложений» до «пентеста веб-приложения». А полные описания всех докладов — под катом: Программа SafeCode 2024

https://habr.com/ru/companies/jugru/articles/796709/

#безопасность #safecode #application_security #appsec #безопасность_приложений

Разбираемся с MavenGate, новой атакой на цепочку поставок для Java и Android-приложений

Всем привет! Сегодня с вами Юрий Шабалин, генеральный директор «Стингрей Технолоджиз», и я хотел бы разобрать в этой статье новый тип атаки на цепочку поставок под названием «MavenGate». А что в ней, собственно, такого? Ну хотя бы то, что ей подвержены более 18% всех Java-библиотек, соответственно, для Android это применимо в полной мере. Совершить эту атаку безумно просто. Суть ее основана на логике работы сборщиков Java/Android-проектов и разрозненности репозиториев, которые хранят эти библиотеки. Если стало интересно и хочется проверить, уязвимы ли вы, добро пожаловать под кат!

https://habr.com/ru/companies/swordfish_security/articles/790544/

#безопасность #цепочка_поставщиков #android #java #supply_chain_attack #information_security #безопасность_приложений #безопасность_мобильных_приложений #безопасная_разработка #devsecops

SafeCode: новая конференция по безопасности приложений

Привет! Мы решили запустить новую конференцию про безопасность приложений

https://habr.com/ru/companies/jugru/articles/778426/

#appsec #application_security #безопасность_приложений #safecode