Intent, WebView и биометрия: как безобидные функции становятся инструментами хакеров
Из-за санкций и удаления приложений из App Store и Google Play российские организации были вынуждены отойти от привычных всем репозиториев, предоставив злоумышленникам больше возможностей для обмана пользователей: загрузка и обновление приложений по внешним ссылкам даже для банковских клиентов...
[Перевод] Проверяем написанную LLM библиотеку OAuth на уязвимости
Сегодня я решил изучить новую библиотеку Cloudflare OAuth provider, которую, судя по заявлениям, почти полностью написали при помощи LLM Claude компании Anthropic: Эта библиотека (в том числе и документация по схеме) была по большей мере написана при помощи Claude — ИИ-модели компании Anthropic....
Введение в OAuth и OpenID Connect
Идентификация — это заявление о том, кем вы являетесь. В зависимости от ситуации, это может быть имя, адрес электронной почты, номер учетной записи, и так далее. Аутентификация — предоставление доказательств, что вы на самом деле есть тот, кем идентифицировались (от слова “authentic” - истинный,...
Использование больших языковых моделей (LLM) в Access Management
Может ли искусственный интеллект революционизировать управление доступом? Есть ли подводные камни? Высокие затраты, риск «галлюцинаций», производительность в реальном времени, эффективность - что перевешивает? В данной статье мы разберемся, как можно применить LLM к управлению доступом для...
История одного SSO: как мы подружили два независимых каталога пользователей через Keycloak
Привет, Хабр! Меня зовут Аскар Добряков, я ведущий эксперт направления защиты бизнес-приложений в К2 Кибербезопасность. При внедрении Single Sign-On, на первый взгляд, все должно идти по накатанной схеме: настраиваем федерацию со службой каталогов, связываем identity provider с service provider,...
Атаки через новый OAuth flow, authorization code injection, и помогут ли HttpOnly, PKCE и BFF
В статье детально рассмотрим интересный вектор атаки на приложения, использующие OAuth/OIDC, разберем, какие предусловия для этого нужны, и увидим, что они не так недостижимы, как может показаться на первый взгляд. Затронем использование паттерна Backend-for-Frontend и способы реализации PKCE для...
Keycloak: как упростить аутентификацию и не сойти с ума?
Я Диана, системный аналитик в Clevertec и экс-преподаватель. В этой нескучной лекции расскажу: - Что такое Keycloak и для чего он нужен? - Как Keycloak помогает с межсистемной аутентификацией? - Какие плюсы и минусы у Keycloak при использовании в продакшене? - Какие альтернативы есть у Keycloak?...
Место и роль ID-сервисов в борьбе с киберпреступлениями
Введение В последние две недели февраля появилось множество обзоров нового законопроекта Федерального Закона (пока без номера), внесенного правительством в Госдуму 15 февраля. Рабочее название закона “О создании государственных информационных систем по противодействию правонарушениям...
Я так устал вводить логин и пароль
Капчи украли у нас миллиарды часов и продолжают воровать дальше. Эту проблему надо решить, и есть технологии, которые могли бы заменить капчу, в том числе такие экзотические, как NFT с биометрией. Проверка на человечность — это пример относительно сложной в интеллектуальном плане задачи. Однако на...
Как уронить и поднять сервис безопасности платежей за одну ночь
Привет, Хабр! На связи Антон Семенов. Я руковожу группой электронных платежей и систем клиентского сервиса АШАН ТЕХ. АШАН ТЕХ — ИТ-компания торговой сети «АШАН Ритейл Россия». Наша главная задача — поддерживать цифровую трансформацию и реализацию ключевых бизнес-задач ритейлера. Сегодня расскажу...
Используй MFA, Люк: как второй фактор помогает защитить подключения
Да пребудет с вами сила, хабравчане! Меня зовут Кирилл Подсухин, я technical product manager в компании Контур. Я вместе с командой разработал систему двухфакторной аутентификации Контур.ID. Я часто представляю нашу команду как джедаев, которые борются с ситхами — злоумышленниками, которые пытаются...
Слишком уж «Быстрый вход» в приложение Т-Банк на Android
Последние несколько лет я являюсь клиентом Т-Банка (в девичестве Тинькофф Банк) и использую их Android-приложение, наверное, каждый день. В декабре я обновил его из Huawei AppGallery, и что-то изменилось в моём пользовательском опыте… Мне стало казаться, что меня стали как-то слишком редко...
Биометрические методы аутентификации: небольшое исследование
Недавно сообщество spring security закончило работу над поддержкой passkeys (ключи доступа), а конкретнее WebAuthn. Протокол WebAuthn позволяет реализовать аутентификацию с помощью биометрических данных. На данный момент поддержка passkeys местами немного сыровата, и мы активно фиксим баги и...
Декларативная платформа управления доступом: от ролей к динамическим политикам
Зачем нужна авторизация, какие проблемы она решает и в каких ситуациях будет полезна? Рассмотрим модели организации контроля доступа и способы их реализации. Привет, Хабр! Меня зовут Олег Козырев. Senior Golang инженер в BigTech-компании, ментор и блогер. Обучаю людей backend-разработке и...
В кино сплошная ложь: почему позаимствованный глаз босса не откроет хранилище
Мы все видели, как в голливудских блокбастерах герои легко обходят системы безопасности, используя поддельные отпечатки пальцев или маски. Но насколько это соответствует действительности? Сравним киношные клише с реальными технологиями биометрической аутентификации. Узнаем, какие угрозы...
Сквозное шифрование и двухфакторная аутентификация в современном интернете
Сегодня практически каждый пользователь интернета знаком с такими терминами, как "сквозное шифрование" (E2EE) и "двухфакторная аутентификация" (2FA). Этому во многом поспособствовали маркетологи, сделав технические термины массово узнаваемыми. Почему они стали так популярны? Разбираемся в этой...
Новая аутентификация в Kubernetes: зачем переходить на Structured Authentication Config
Меня зовут Максим Набоких, и я один их тех, кто участвовал в разработке Structured Authentication Config. Это крупнейшее изменение в системе аутентификации в Kubernetes за последние годы, которое появилось в версии 1.29. В статье я расскажу о предпосылках появления нового аутентификатора и покажу...
Неинтерактивная SSH-аутентификация
SSH предлагает несколько форм аутентификации, в том числе пароли и открытые ключи. Последние считаются более безопасными. Однако аутентификация по паролю по-прежнему остаётся самой популярной, особенно в сетевом оборудовании. Чтобы не вводить пароль каждый раз вручную, есть специальные инструменты...
Назад