Сколько факторов аутентификации нужно использовать, чтобы учетные записи ваших пользователей были в безопасности? Зачем сбрасывать пароль каждые 30 дней? Есть ли методы аутентификации, которые, с одной стороны, достаточно безопасные, а с другой – удобные даже для вашей бабушки? Никита Хромушкин из Авито провел для нас максимально подробную лекцию про то, насколько проклято текущее состояние дел в аутентификации и какое светлое будущее нас ждет, когда человечество откажется от паролей!
Партнёр эпизода – облачная платформа Yandex Cloud, которая проводит большую конференцию Yandex Scale для тех, кто создаёт цифровые решения. Генеративные нейросети, речевые технологии, сервисы для работы с данными и обеспечения безопасности, serverless‑подход – об этом и многом другом 25 сентября расскажут эксперты и партнёры облачной платформы. Участие бесплатное, приходите офлайн в МХАТ им. М. Горького или смотрите в онлайн-трансляции. Зарегистрироваться можно по ссылке: https://lnnk.in/aRpI
Реклама. ООО "Яндекс.Облако",
ИНН 7704458262, erid:2SDnjd7SVQN
Также ждем вас, ваши лайки, репосты и комменты в мессенджерах и соцсетях!
Telegram-чат: https://t.me/podlodka
Telegram-канал: https://t.me/podlodkanews
Страница в Facebook: www.facebook.com/podlodkacast/
Twitter-аккаунт: https://twitter.com/PodlodkaPodcast
Ведущие в выпуске:
Евгений Кателла, Егор Толстой
Полезные ссылки:
Неслучайный генератор случайных одноразовых кодов Тинькофф банка
https://habr.com/ru/articles/462071/
OWASP Authentication Cheat Sheet (Про ошибки аутентификации и общие рекомендации)
https://lnnk.in/htmx
OWASP Multifactor Authentication Cheat Sheet (Факторы, плюсы, минусы, рекомендации, risk-based MFA)
https://lnnk.in/hvmu
NIST Digital Identity Guidelines / Authentication and Lifecycle Management (Про запрет использования секретных вопросов)
https://lnnk.in/duq3
OWASP Password Storage Cheat Sheet (Про безопасное хранение паролей, bcrypt, work factor)
https://lnnk.in/aNp7
OAuth 2.0 Authorization Code Grant Type - Fully Visualized (Article with Infographic) (Статья с инфографикой / sequence-диаграммой про OAuth)
https://lnnk.in/aMqe
OAuth Playground (Authorization Code with PKCE) (Интерактивная площадка для тестирования OAuth+PKCE)
https://lnnk.in/aSpL
OWASP Testing for OAuth Weaknesses (Руководство по тестированию уязвимостей OAuth)
https://lnnk.in/aOp7
OWASP Authentication Testing (Руководство по тестированию аутентификации)
https://lnnk.in/evl8
Open Policy Agent (Фреймворк политики безопасности)
https://www.openpolicyagent.org/
Rego Sandbox for Open Policy Agent (Песочница для языка Rego)
https://play.openpolicyagent.org/
FTC Data Breach Response Guide for Businesses (Гайд для бизнеса на случай утечки паролей)
https://lnnk.in/aPpT
Book: OAuth 2 in Action (Книга по OAuth2, возможна устаревшая с 2017)
https://www.manning.com/books/oauth-2-in-action
Book: Cryptography by Damir Sharifyanov (Книга по основам криптографии для новичков)
https://lnnk.in/aQpU
OWASP Testing Multi-Factor Authentication (Руководство по тестированию многофакторной аутентификации)
https://lnnk.in/hxmj
OWASP Testing for Bypassing Authorization Schema (Про тестирование обхода схем авторизации)
https://lnnk.in/exl2
OWASP Testing for Cookies Attributes (Атрибуты Cookies: Secure, HTTP only, Path, Expires)
https://lnnk.in/hzl9
Плейлист
Podlodka Podcast
Продолжаем серию выпусков о кроссплатформенной разработке под десктоп! На этот обозреваем сразу два фреймворка – JavaFX и Swing, а чтобы было честно, мы пригласили двух экспертов: Михаила Соколова, Pl...
Когда продукт уже устоялся, перед командой встает задача масштабирования и поиска новых направлений для роста. В этом выпуске мы поговорили с Анной Булдаковой — фаундером No flame no game и Meander, e...
А что, если взять SQL, добавить к нему всякие расширения, чтобы было проще писать бизнес-логику, и максимально тесно интегрировать с конкретной базой данных? Получится PL/SQL! Обсуждаем в выпуске сам...
Друзья, встречайте наш юбилейный 400-й выпуск! 🎉 Мы посвятили этот особенный эпизод темам, которые волнуют каждого слушателя и слушательницу: разбираем проблемы и страхи IT-индустрии и обсуждаем, как...
А вот и финальная часть нашего гайда по качалке! В этот раз обсудили, нужна ли специальная диета для силовых тренировок и какие ключевые рекомендации по питанию стоит учесть. Разобрали, как и зачем сч...
Наконец-то выпуск про релокацию не на какой-то там очередной остров, а в Соединенные Штаты Америки! Тема обширная, так что обсудили не все, но подняли много непростых тем – визы и легализацию, безопас...
В этот выпуск гостем пришел Матвей Кукуй, сооснователь KeepHQ.dev, а в прошлом — Engineering Director в Grafana Labs. Говорим о том, что такое AIOps и как искусственный интеллект трансформирует монито...
В этом выпуске c Артуром Голубцовым из Cognitive Pilot погружались в мир робототехники и говорили про особенности разработки автопилотов и автономных систем: от выбора ниши и MVP до тестирования в реа...
Понятный и удобный API – залог успеха хорошей библиотеки. Но, чтобы его спроектировать, нужно решить огромное количество проблем, связанных с выбором правильного уровня абстракции, историческим наслед...
В этом выпуске заглядываем одним глазком туда, где цена ошибки максимально высока. В медицину! Что уже может делать ИИ, в чем он лучше или хуже врачей – разберемся с Евгением Никитиным, CTO компании Ц...
В этом выпуске мы обсуждаем социальную инженерию — угрозу, которая касается каждого, будь то человек или компания. Мы разберем основные методы атак, и какие психологические техники используют мошенник...
Lua – уникальный язык программирования, так и не ставший массовым, но при этом занявший кучу разных ниш. Его используют, чтобы писать моды для Factorio, Minecraft и Roblox, высоконагруженную логику дл...
Почему одни языки легко взаимодействуют между собой – как, например C и C++, или Java и Kotlin, а другие создают неимоверную боль при попытке вызвать функции одного языка из другого? Все дело в интеро...
В выпусках мы уже обсуждали Java, Kotlin, Scala и даже Clojure, но теперь пришло время разобраться с основой популярности этих языков — Java Virtual Machine. Кто сможет лучше всего рассказать о внутре...
В этом выпуске мы поговорили о входе в IT, обучении и устройстве на позицию junior-разработчика с сооснователем Hexlet Кириллом Мокевниным. Обсудили, как собрать портфолио и где получить практический...
Сколько факторов аутентификации нужно использовать, чтобы учетные записи ваших пользователей были в безопасности? Зачем сбрасывать пароль каждые 30 дней? Есть ли методы аутентификации, которые, с одно...
С – язык, на котором написана значимая часть всего, что нас окружает: от ядра операционной системы до мозгов автомобиля, из колонок которого вы будете слушать этот подкаст. В выпуске вместе с Игорем Ж...
Вторая часть выпуска про звук с Сергеем Рябовым. Если в первой части мы обсудили, как и на что звук записывают, то во второй — как его послушать. Разобрали все от максимального правильного сетапа с зо...
Частые землетрясения, жизнь на 12 кв.м. и убийственно дорогие фрукты — это только одна из сторон жизни в Японии. На самом деле, все гораздо более позитивно!
Ася Кононова, год назад переехавшая в Япо...
Существует популярное мнение – делай свою работу быстрее и лучше других, и продвижение по карьере не заставит себя ждать. На ранних этапах карьеры это еще справедливо, но чем дальше – тем больше прави...
На протяжении всей карьеры нам постоянно приходится вести переговоры о деньгах — при принятии оффера, обсуждении профессионального роста со своим тимлидом, или назначении стоимости за фриланс и конса...
Люди — главный ресурс любого бизнеса. В этом выпуске вместе с Викой Ёлкиной, экспертом в проектировании корпоративного обучения, разбираемся почему компании инвестируют в обучение сотрудников; кого, к...
Про стоицизм поговорили с Иваном Ямщиковым – ведущим подкаста Проветримся, а еще профессором Высшей Технической Школы города Вюрцбург. Обсудили, как стоицизм помогает меньше переживать из-за событий,...
Подлодка – это в некотором роде СМИ, хоть и не очень массовое. Нам стало интересно, как работают изнутри настоящие медиа, поэтому мы пригласили в гости Максима Иванова, который за свою карьеру работал...
Когда-то давно Роберт Мартин (он же “Дядя Боб”) популяризовал словосочетания “Чистый код” и “Чистая архитектура”. С тех пор не утихают споры, а что же именно он под всем этим подразумевает. Прошло нес...
В выпуске обсудили, как была устроена звукозапись в доцифровую эпоху и что изменилось с приходом цифры. Сергей Рябов из Dr.Head рассказал про отличия микрофонов и по какому принципу выбрать тот, котор...
Любой мультиплеер – это набор очень хитрых иллюзий, которые создают ощущение одновременной игры в окружении, где ее принципиально не может быть. Михаил Панин, инженер VR в Meta, а в прошлом техлид поп...
Обычно мы надеемся, что наши программы будут работать без ошибок. Тем не менее, все-таки приходится предусматривать все возможные сценарии, когда что-то может пойти не так. В этом выпуске мы тщательно...
Инди – это цель, а хакинг – это способ ее достичь. Стас Кулеш, инди-хакер с $60K MRR и бесконечным количеством проектов за плечами рассказал о том, как любой разработчик может прийти к финансовой неза...
В выпуске поговорили как можно прийти к высокой производительности через Observability, Profiling и Benchmarking. Сергей Тепляков предложил простые критерии, как понять, что вам надо задуматься об опт...