Virage
  • 26
Wytłumaczy mi ktoś o co jest takie wielkie hurr durr glapiński zabije gospodarkę, skoro przez ostatnie miesiące inflacja stoi w miejscu a w lipcu mieliśmy deflację? Te 10% to pozostałości z poprzedniego roku, teraz w zasadzie nie ma inflacji według oficjalnych danych

https://stat.gov.pl/obszary-tematyczne/ceny-handel/wskazniki-cen/wskazniki-cen-towarow-i-uslug-konsumpcyjnych-pot-inflacja-/miesieczne-wskazniki-cen-towarow-i-uslug-konsumpcyjnych-od-1982-roku/
#rpp #inflacja
Virage - Wytłumaczy mi ktoś o co jest takie wielkie hurr durr glapiński zabije gospod...

źródło: Capture

Pobierz
  • 79
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
securitymb
securitymb
  • 0
@Virage Nawet jeśli wzrost cen miesiąc do miesiąca (a o takim mówisz w swoim wpisie) wynosi choćby 1% to jest to już dużo. Zakładając, że każdego miesiąca ceny wzrastają "tylko" o 1%, to oznacza, że po dwunastu miesiącach wzrost cen wyniesie (1,01)^12 = 1,1268, czyli innymi słowy - rok do roku to wzrost o prawie 13%.

Z kolei jak wymnożysz dane od początku tego roku (dzieląc je najpierw przez 100) to
  • Odpowiedz
Khaine
  • 0
#webdev #programowanie #javascript #bezpieczenstwo

Zastanawiam się nad możliwościami zabezpieczenia na linii front-backend.

Generalnie backend jest dostosowany do bycia samodzielnym API a frontend to byłby taki wizualny ficzer, którego ktoś może używać ale w sumie to nie musi.

No
  • 3
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
securitymb
securitymb
  • 0
@Khaine: Najważniejszym pytaniem, na jakie musisz sobie odpowiedzieć, to: "przed jakimi atakami chcesz się bronić", czyli jaki masz model zagrożeń. Ktoś kiedyś ładnie powiedział, że "bezpieczeństwo bez modelu zagrożeń to nie bezpieczeństwo - tylko paranoja" ;)

Czas ważności tokena jest kwestią, która bardzo mocno zależy od typu aplikacji - trudno dać tutaj ogólne zalecenie, że wszystkie aplikacje powinny mieć sesje o ważności maksymalnie x minut.

Jeśli rzeczywiście boisz się, że ktoś
  • Odpowiedz
KacperSzurek
  • 10
CORS – czyli cross-origin resource sharing to mechanizm umożliwiający współdzielenie zasobów pomiędzy serwerami znajdującymi się w różnych domenach.
Zazwyczaj w nagłówku Access-Control-Allow-Origin podajemy adres domeny, która może się łączyć z naszymi zasobami.
Gwiazdka w tym polu oznacza, że zezwalamy na dostęp z każdej domeny.
Czy zatem ustawienie w tym polu wartości null jest prawidłowe i bezpieczne?


#od0dopentestera #security #programista15k #programowanie #informatyka
KacperSzurek - CORS – czyli cross-origin resource sharing to mechanizm umożliwiający ...

źródło: comment_XDSOQPXteAWWBMumsE6pGeLy7NfUpW3N.jpg

Pobierz
  • 3
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
KacperSzurek
  • 66
Jak przekonać użytkownika do usunięcia swojego konta w serwisie internetowym bez jego zgody?
W dzisiejszym odcinku #od0dopentestera o ataku Clickjacking.

Podczas potwierdzania usunięcia konta zazwyczaj do serwera wysyłany jest specjalny token.
Dzięki niemu wiadomo, że to użytkownik użył odpowiedniego przycisku.
Osoba z zewnętrz nie jest w stanie przygotować wcześniej formularza usunięcia konta z prawidłowym tokenem a następnie podłożyć go nam do kliknięcia.
KacperSzurek - Jak przekonać użytkownika do usunięcia swojego konta w serwisie intern...
  • 7
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
InnyKtosek
  • 3
Czemu "open redirect" prawie wszyscy uważają za lukę bezpieczeństwa? Wszyscy jako przykład ataku podają phishing bo można wygenerować link z domeny X na domenę Y i wstawić to np. w e-maila. No ale litości, w e-mailu mogę równie dobrze wpisać: [http://google.com](http://google.com) i na to samo wyjdzie.

Zna ktoś jakikolwiek sensowy sposób wykorzystania tej luki?

Co ciekawe, Google w swoim programie Bug Bounty wprost stwierdza, że według nich nie jest to luka bezpieczeństwa
  • 7
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
securitymb
securitymb
  • 0
@InnyKtosek: W odniesieniu do OAutha, to jeśli używany jest flow "implicit grant", to wówczas client secret nie jest potrzebny, więc open redirect może być przydatny.

Ponadto open redirect jest ciekawy w aplikacjach, które opierają się o jakiekolwiek mechanizmy typu webview (jak zalinkowany wyżej mój tekst o Hangouts Chat).

Moim zdaniem open redirect jako możliwość wykonania phishingu to faktycznie dość naciągany atak. Natomiast, jak wspomniał @ZaufanaTrzeciaStrona, przydaje się przy
  • Odpowiedz
fizyk20
  • 14
Stworzyłem sobie własny, prywatny dyndns :D #chwalesie

O co chodzi?
Mam sobie domenę, którą trzymam na MyDevil i chciałbym kilka subdomen przekierować na swoje Raspberry Pi, które stoi u mnie w domu. Problem: moje IP jest zmienne (zmienia się rzadko, ale jednak). Mógłbym je aktualizować ręcznie przy zmianach... no ale jestem programistą, więc automatyzujemy ;)

Na hostingu postawiłem appkę w #python #flask. Appka ma za zadanie zaktualizować IP
  • 10
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
securitymb
securitymb
  • 3
@fizyk20: Jak dla mnie - kryptograficznie (ideowo) rozwiązanie wydaje się okej.. Mam jedną uwagę do implementacji. W funkcji constructmessage masz:

return main_domain.encode("utf-8") + domains.encode("utf-8") + challenge
Jak budujesz wiadomość do podpisu, to koniecznie muszą być separatory pomiędzy konkatenowanymi elementami. Inaczej jest ryzyko, że dwie różne wiadomości mogą dać ten sam podpis. Wynika to z faktu, że np. "123"+"456" daje ten sam wynik co "12"+"3456".

Inne małe ryzyko jakie może tutaj być, to
  • Odpowiedz
A.....o
A.....o
  • 1
Dlaczego zaszyfrowany dysk można złamać tylko metodą brute force? W jaki sposób udaje się ukryć to hasło, że nikt do niego nie może mieć dostepu? Czy da się to jakoś prosto wytłumaczyć dla kogoś nie w temacie? Zawsze mnie to ciekawiło.

#kiciochpyta #bezpieczenstwo #it #szyfrowanie
  • 6
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
securitymb
securitymb
  • 2
@Antwito: Jak już wyżej napisano, hasło nie jest nigdzie przechowywane - jest tylko używane do zbudowania klucza do deszyfracji. Z kolei jeśli dane próbujesz deszyfrować kluczem, który jest niepoprawny, to w wyniku takiej deszyfracji dostaniesz tylko śmieci. Wiesz więc, że klucz jest niepoprawny, ale nie wiesz jaki jest poprawny.

Możesz sobie zobaczyć demo np. dla algorytmów używanych przez bibliotekę TweetNaCl: https://tweetnacl.js.org/#/secretbox .

Kliknij sobie najpierw "Random" przy "Key" oraz "Nonce", a następnie
  • Odpowiedz
securitymb
securitymb
  • 3
@onechaos:

Po pierwsze: lastDigit = value % 10.

Po drugie: możesz skorzystać z magii, z której korzysta gettext i użyć gotowego wyrażenia, które zwraca 0, 1 lub 2 w zależności od tego jaka forma ma być użyta:

plural=(n==1 ? 0 : n%10>=2 && n%10<=4 && (n%100<10 || n%100>=20) ? 1 : 2);
  • Odpowiedz

Osiągnięcia