[Перевод] Ад — это чересчур уверенные в себе разработчики, пишущие собственную криптографию

Чересчур уверенные в себе разработчики, пишущие собственный криптографический код, были проклятием отрасли информационной безопасности ещё до того, как она вообще стала отдельной отраслью.

Само по себе это необязательно плохо, несмотря на то, что одна из аксиом информационной безопасности запрещает делать именно это. Написание криптографического кода (но не его развёртывание или публикация!) — важный первый шаг в обучении алгоритмам.

Я заметил такую тенденцию (как в примере с Session): разработчики некорректно утверждают, что не реализуют собственную криптографию, ведь они используют низкоуровневую криптографическую библиотеку.

Эта ошибка свойственна не только сомнительным приложениям, форкающим мессенджеры со сквозным шифрованием, чтобы вырезать прямую секретность (forward secrecy). Читать дальше →

Источник: Хабрахабр

Перейти на сайт

Похожие новости

• Быстрый старт в маскировании данных PostgreSQL с инструментом pg_anon
• [Перевод] Свой среди чужих: насколько токсична рабочая среда безопасника?
• [Перевод] Обход двухфакторной аутентификации в публичной баг-баунти программе: путь к $6000
• Кратко про XHTTP для VLESS: что, зачем и как
• [Перевод] Как я нашёл уязвимость в ядре Linux при помощи модели o3
• SelfCoerce для локального повышения привилегий на Windows 10
• Теория мертвого 2GIS
• Постквантовые криптостандарты США на алгоритмы электронной подписи на основе хеш-функций с сохранением состояния
• Новые возможности менеджера секретов Deckhouse Stronghold: пространства имён, резервные копии и репликация данных
• [Перевод] Single Sign-On c OpenAM и OpenIG: практические примеры реализации