ASP.NET Core: Механизмы предотвращения атак 2.0
По встроенным механизмам безопасности ASP .NET Core написано мало статей. Даже официальная документация имеет пробелы. В этой статье мы пройдём по всем основным компонентам, имеющим отношение к безопасности, и разберём, как это работает внутри.
Если вы используете старый добрый ASP .NET, то для вас будет полезна информация по внутреннему устройству компонентов безопасности и лучшим практикам их использования. Здесь вы найдёте ответы на следующие вопросы: как реализованы современные анти-XSS механизмы и как их правильно использовать в ASP .NET Core? Как правильно работать с cookies и какие подводные камни там могут встретиться? Как был переписан механизм защиты от CSRF? Как правильно работать с криптографическими алгоритмами? Кроме того, рассказывается про опыт участия в Bug Bounty по поиску уязвимостей в ASP .NET Core.
Перед чтением рекомендуется освежить в памяти атаки из списка OWASP Top 10.
Прототипом статьи является доклад Михаила Щербакова на конференции DotNext 2017 Moscow. Михил — Microsoft .NET MVP, участник .NET Core Bug Bounty Program, соорганизатор сообщества .NET программистов (Московское комьюнити называется MskDotNet, питерское — SpbDotNet). По работе последние 5 лет занимается безопасностью. Работал в Positive Technologies, в Cezurity, сейчас как консультант работает напрямую с заказчиками, по большей части в этой же сфере. Профессиональные интересы: статический и динамический анализ кода, информационная безопасность, автоматизация отладки кода, исследование внутреннего устройства .NET CLR.
В этом тексте огромное количество картинок со слайдов. Осторожно, трафик!
Читать дальше →
Источник: Хабрахабр
Похожие новости
- Мой первый VPS: Чек-лист по превращению «голой» машины в маленькую крепость (Часть 1)
- МТС Твой бизнес: Россияне рассказали, каким банкам они доверяют
- Как фестивали объединяют людей. Опыт организации и диджитал-продвижения Пикника Афиши
- Out of the box: отчуждаемый механизм корреляции
- Переделали сайт страховой компании и подняли конверсию на 30%
- bit kogan: Бюджет РФ: а возможна ли катастрофа?
- Анализ уязвимости CVE-2025-27736 в Power Dependency Coordinator
- Продвижение в историях: VK Реклама запустила новый формат
- Flare-On 11: Task 7 (2024) – Анализ и криптовзлом
- Как мы строим антифрод в анонимных крипто-свапалках: опыт и грабли