Top VS Code Extensions for Application Security in 2021
Visual Studio Code (VS Code) is arguably the most popular integrated development environment-code editor. In this article, we will be looking at some extensions that enhance our vulnerability detection and correction powers.
https://devdojo.com/yoda/top-vs-code-extensions-for-application-security-in-2021
Visual Studio Code (VS Code) is arguably the most popular integrated development environment-code editor. In this article, we will be looking at some extensions that enhance our vulnerability detection and correction powers.
https://devdojo.com/yoda/top-vs-code-extensions-for-application-security-in-2021
DevDojo
Top VS Code Extensions for Application Security in 2021 - DevDojo
Companies are investing heavily in technologies to protect their users' data as part of policies. Hackers and other bad players will get more sophisticated in s...
Trusted Types API for JavaScript DOM Security
The team at Google Chrome announced an API called Trusted Types API in order to control DOM XSS security vulnerabilities. They mainly introduced this as DOM-based XSS vulnerabilities were growing as opposed to server-side XSS vulnerabilities.
https://blog.bitsrc.io/trusted-types-api-for-javanoscript-dom-security-fcdafa927e73
The team at Google Chrome announced an API called Trusted Types API in order to control DOM XSS security vulnerabilities. They mainly introduced this as DOM-based XSS vulnerabilities were growing as opposed to server-side XSS vulnerabilities.
https://blog.bitsrc.io/trusted-types-api-for-javanoscript-dom-security-fcdafa927e73
Medium
Trusted Types API for JavaScript DOM Security
Protecting against DOM XSS security vulnerabilities in JavaScript using Trusted Types API
All about Password Reset vulnerabilities
For today we are going to talk about some web security vulnerability, which occurs on password reset functionality. So for today, we will see a brief methodology and approach for finding bugs in this very common functionality.
https://infosecwriteups.com/all-about-password-reset-vulnerabilities-3bba86ffedc7
For today we are going to talk about some web security vulnerability, which occurs on password reset functionality. So for today, we will see a brief methodology and approach for finding bugs in this very common functionality.
https://infosecwriteups.com/all-about-password-reset-vulnerabilities-3bba86ffedc7
Medium
All about Password Reset vulnerabilities
Bug bounty approach for finding bugs in password reset function
Пожалуйста, ознакомьтесь с обновленными правилами поведения в чате и комментариях.
Please read the updated chat and comments code of conduct.
https://news.1rj.ru/str/ru_appsec/2
Please read the updated chat and comments code of conduct.
https://news.1rj.ru/str/ru_appsec/2
macOS 11’s hidden security improvements
A deep dive into macOS 11’s internals reveals some security surprises that deserve to be more widely known.
https://blog.malwarebytes.com/mac/2021/08/macos-11s-hidden-security-improvements/
A deep dive into macOS 11’s internals reveals some security surprises that deserve to be more widely known.
https://blog.malwarebytes.com/mac/2021/08/macos-11s-hidden-security-improvements/
Malwarebytes
macOS 11's hidden security improvements
A deep dive into macOS 11's internals reveals some security surprises that deserve to be more widely known.
Объявлена программа конференции ZeroNights 2021
Организаторы конференции ZeroNights 2021 объявили программу мероприятия, которое в этом году состоится 25 августа 2021 года в Санкт-Петербурге. Помимо основной программы участников ждут треки WebVillage и Defensive, а также воркшопы и HardwareZone.
https://xakep.ru/2021/08/20/zn-programm/
Организаторы конференции ZeroNights 2021 объявили программу мероприятия, которое в этом году состоится 25 августа 2021 года в Санкт-Петербурге. Помимо основной программы участников ждут треки WebVillage и Defensive, а также воркшопы и HardwareZone.
https://xakep.ru/2021/08/20/zn-programm/
XAKEP
Объявлена программа конференции ZeroNights 2021
Организаторы конференции ZeroNights 2021 объявили программу мероприятия, которое в этом году состоится 25 августа 2021 года в Санкт-Петербурге. Помимо основной программы участников ждут треки WebVillage и Defensive, а также воркшопы и HardwareZone.
Опрос: что вы думаете о DevSecOps?
Расскажите, что вы думаете о DevSecOps и что хотели бы узнать о нем.
Пожалуйста, найдите возможность потратить пару минут на участие в этом опросе. Его результаты повлияют, в том числе, на будущие активности, как в рамках пользовательской группы PDUG, так и треков докладов для разработчиков на PHDays и Standoff.
https://habr.com/ru/company/pt/blog/572724/
Расскажите, что вы думаете о DevSecOps и что хотели бы узнать о нем.
Пожалуйста, найдите возможность потратить пару минут на участие в этом опросе. Его результаты повлияют, в том числе, на будущие активности, как в рамках пользовательской группы PDUG, так и треков докладов для разработчиков на PHDays и Standoff.
https://habr.com/ru/company/pt/blog/572724/
В этом году, в рамках The Standoff (9-10 ноября, Москва, ВДНХ), впервые будет проводиться трек для разработчиков, в формате, аналогичном формату трека на PHDays, под эгидой пользовательской группы PDUG.
‼️Приглашаем спикеров принять участие в CFP мероприятия: https://forms.gle/btopBc98vVRmeAD4A.
Все доклады будут проходить в гибридном формате (выступление оффлайн с трансляцией в онлайн). Участникам PDUG предоставляется возможность посетить мероприятие бесплатно. Подробности будут опубликованы позднее, после формирования программы трека.
‼️Приглашаем спикеров принять участие в CFP мероприятия: https://forms.gle/btopBc98vVRmeAD4A.
Все доклады будут проходить в гибридном формате (выступление оффлайн с трансляцией в онлайн). Участникам PDUG предоставляется возможность посетить мероприятие бесплатно. Подробности будут опубликованы позднее, после формирования программы трека.
Forwarded from Positive Events
Как стать докладчиком на The Standoff 👇🏼
📌 Приглашаем выступить с докладами на темы поиска и эксплуатации уязвимостей, защиты от хакерских атак, а также практики разработки безопасного программного обеспечения.
The Standoff — это не только противостояние «красных» и «синих», но и насыщенная деловая и техническая программа.
В рамках двухдневного форума:
✅ поговорим о развитии индустрии кибербеза;
✅ разберем новые вызовы в сфере ИБ;
✅ обсудим острые проблемы бизнеса;
✅ продолжим диалог с государством об импортозамещении в индустрии;
✅ в особый трек выделим тему инвестиций в кибербез.
Как всегда, мы не ограничимся только офлайн-форматом. Кибербитву и выступления будут транслировать в прямом эфире на сайте The Standoff. Поэтому, если вам есть о чем рассказать всему миру, — становитесь нашим спикером 😎
🗓 Подайте заявку до 30 сентября, пройдите отбор программного комитета и станьте докладчиком The Standoff!
9 и 10 ноября 2021 года все выступления пройдут в Москве на ВДНХ в двух форматах:
⁃ доклад (50 минут),
⁃ fast track (15 минут).
❗️Можно подать несколько заявок. Доклады принимаются на русском и английском языке.
📌 Приглашаем выступить с докладами на темы поиска и эксплуатации уязвимостей, защиты от хакерских атак, а также практики разработки безопасного программного обеспечения.
The Standoff — это не только противостояние «красных» и «синих», но и насыщенная деловая и техническая программа.
В рамках двухдневного форума:
✅ поговорим о развитии индустрии кибербеза;
✅ разберем новые вызовы в сфере ИБ;
✅ обсудим острые проблемы бизнеса;
✅ продолжим диалог с государством об импортозамещении в индустрии;
✅ в особый трек выделим тему инвестиций в кибербез.
Как всегда, мы не ограничимся только офлайн-форматом. Кибербитву и выступления будут транслировать в прямом эфире на сайте The Standoff. Поэтому, если вам есть о чем рассказать всему миру, — становитесь нашим спикером 😎
🗓 Подайте заявку до 30 сентября, пройдите отбор программного комитета и станьте докладчиком The Standoff!
9 и 10 ноября 2021 года все выступления пройдут в Москве на ВДНХ в двух форматах:
⁃ доклад (50 минут),
⁃ fast track (15 минут).
❗️Можно подать несколько заявок. Доклады принимаются на русском и английском языке.
ObjLupAnsys
ObjLupAnsys is a tool to detect prototype pollution vulnerabilities in Node.js packages.
Repository: https://github.com/Song-Li/ObjLupAnsys
Paper: https://songli.io/papers/fse21_objlupansys.pdf
ObjLupAnsys is a tool to detect prototype pollution vulnerabilities in Node.js packages.
Repository: https://github.com/Song-Li/ObjLupAnsys
Paper: https://songli.io/papers/fse21_objlupansys.pdf
GitHub
GitHub - Song-Li/ObjLupAnsys: ObjLupAnsys is a tool to detect prototype pollution vulnerabilities in Node.js packages. This project…
ObjLupAnsys is a tool to detect prototype pollution vulnerabilities in Node.js packages. This project is written in Python and JavaScript. - GitHub - Song-Li/ObjLupAnsys: ObjLupAnsys is a tool to d...
7 ложных предположений о том, как устроены строки
Как Unicode уничтожает большинство ваших предположений о том, как на самом деле работают строки.
https://habr.com/ru/company/typeable/blog/576042/
Как Unicode уничтожает большинство ваших предположений о том, как на самом деле работают строки.
https://habr.com/ru/company/typeable/blog/576042/
Хабр
7 ложных предположений о том, как устроены строки
Как Unicode уничтожает большинство ваших предположений о том, как на самом деле работают строки Когда речь идет о написании чего-то простого, мы, программисты, обычно действуем интуитивно. В случае...
Выложены записи докладов августовского ZeroNights X:
https://www.youtube.com/watch?v=DK_H58Vg7is&list=PLHlFrzuFU1EUpnX5GFcAcv5_vvOS-OK0O (defensive track)
https://www.youtube.com/watch?v=OfEx8WG4LnE&list=PLHlFrzuFU1EVWqevd_ldVh4CoKg5es1rV (web village)
https://www.youtube.com/watch?v=Sy3Kdd1jIvo&list=PLHlFrzuFU1EX8J2tPxOFJ2XySuP6OElEE (main stage)
https://www.youtube.com/watch?v=DK_H58Vg7is&list=PLHlFrzuFU1EUpnX5GFcAcv5_vvOS-OK0O (defensive track)
https://www.youtube.com/watch?v=OfEx8WG4LnE&list=PLHlFrzuFU1EVWqevd_ldVh4CoKg5es1rV (web village)
https://www.youtube.com/watch?v=Sy3Kdd1jIvo&list=PLHlFrzuFU1EX8J2tPxOFJ2XySuP6OElEE (main stage)
YouTube
Denis Rybin – Metrics in practice
Let’s discuss security metrics, main approaches and challenges, and how they can help achieve business goals and prioritize tasks. This talk is focused on the practical implications and less so on theory. Our goal is to make metrics work for us and not the…
If you copied any of these popular StackOverflow encryption code snippets, then you coded it wrong.
Security code reviews is a task that I do on a daily basis, and have been doing for the last thirteen and a half years. In this time, I have reviewed several hundred code bases, and have come across cryptographic code many times. More often than not, there have been security issues in cryptography code that I have reviewed.
https://littlemaninmyhead.wordpress.com/2021/09/15/if-you-copied-any-of-these-popular-stackoverflow-encryption-code-snippets-then-you-did-it-wrong/
Security code reviews is a task that I do on a daily basis, and have been doing for the last thirteen and a half years. In this time, I have reviewed several hundred code bases, and have come across cryptographic code many times. More often than not, there have been security issues in cryptography code that I have reviewed.
https://littlemaninmyhead.wordpress.com/2021/09/15/if-you-copied-any-of-these-popular-stackoverflow-encryption-code-snippets-then-you-did-it-wrong/
Little Man In My Head
If you copied any of these popular StackOverflow encryption code snippets, then you coded it wrong
Security code reviews is a task that I do on a daily basis, and have been doing for the last thirteen and a half years. In this time, I have reviewed several hundred code bases, and have come acros…
Вакансия Junior Security Researcher от Veeam:
https://careers.veeam.com/vacancies/quality-assurance/junior_security_researcher-743999775493509
https://careers.veeam.com/vacancies/quality-assurance/junior_security_researcher-743999775493509
Veeam Software
Career Opportunities at Veeam Software
Learn more about what makes us veeamazing, which opportunities you have at Veeam Software and how to successfully apply.
.NET 5, Source Generators, and Supply Chain Attacks
Source Generators is a powerful .NET feature that makes it easier to develop robust applications that perform tedious tasks automatically freeing developers from writing boilerplate code.
Its flexibility, unfortunately, allows adversaries to attack applications and enterprises in novel ways which are difficult to protect against without scrutinizing dependencies source code. In order to prevent similar attacks, only defense-in-depth solutions or a combination of the whole spectrum of security controls will be able to reduce risk to an acceptable level.
https://www.veracode.com/blog/secure-development/net-5-source-generators-and-supply-chain-attacks
Source Generators is a powerful .NET feature that makes it easier to develop robust applications that perform tedious tasks automatically freeing developers from writing boilerplate code.
Its flexibility, unfortunately, allows adversaries to attack applications and enterprises in novel ways which are difficult to protect against without scrutinizing dependencies source code. In order to prevent similar attacks, only defense-in-depth solutions or a combination of the whole spectrum of security controls will be able to reduce risk to an acceptable level.
https://www.veracode.com/blog/secure-development/net-5-source-generators-and-supply-chain-attacks
Veracode
.NET 5, Source Generators, and Supply Chain Attacks | Veracode
IDEs and build infrastructure are being a target of various threat actors since at least 2015 when XcodeGhost has been discovered - https://en.wikipedia.org/wiki/XcodeGhost - malware-ridden Apple Xcode IDE that enabled attackers to plant malware in iOS applications…
Безопасная разработка: как жить в цифре, писать много кода и не стать жертвой хакеров
Участники пресс-клуба расскажут о трендовых угрозах и примерах кибератак, виной которым послужили бреши в исходном коде ПО. Мы подискутируем о том, нужна ли компаниям безопасная разработка, как эксперты оценивают степень проникновения этого подхода в российский бизнес и какие результаты уже достигнуты. Отдельной темой беседы станет обсуждение элементов DevSecOps и SSDL1: не только в плане технологий, но и культуры разработки, подходов и принципов.
https://youtu.be/Txa22taohEw
Участники пресс-клуба расскажут о трендовых угрозах и примерах кибератак, виной которым послужили бреши в исходном коде ПО. Мы подискутируем о том, нужна ли компаниям безопасная разработка, как эксперты оценивают степень проникновения этого подхода в российский бизнес и какие результаты уже достигнуты. Отдельной темой беседы станет обсуждение элементов DevSecOps и SSDL1: не только в плане технологий, но и культуры разработки, подходов и принципов.
https://youtu.be/Txa22taohEw
YouTube
Безопасная разработка: как жить в цифре, писать много кода и не стать жертвой хакеров
Друзья, мы продолжаем встречи Positive Tech Press Club, на которых обсуждаем эволюцию угроз и технологий информационной безопасности. Будем рады видеть вас на очередном мероприятии, в этот раз посвященном теме уязвимостей и безопасности исходного кода.
Участники…
Участники…
Очевидная математика протокола Диффи-Хеллмана
Обычно, протокол Диффи-Хеллмана (DH) описывают на примере вычетов, то есть, арифметики остатков. Это так называемый классический вариант реализации протокола, который тоже используется на практике. При этом, протокол успешно обобщается на другие математические структуры, лишь бы они обладали некоторыми специальными свойствами.
https://dxdt.ru/2021/10/11/9117/
Обычно, протокол Диффи-Хеллмана (DH) описывают на примере вычетов, то есть, арифметики остатков. Это так называемый классический вариант реализации протокола, который тоже используется на практике. При этом, протокол успешно обобщается на другие математические структуры, лишь бы они обладали некоторыми специальными свойствами.
https://dxdt.ru/2021/10/11/9117/
Forwarded from SecAtor
Ученые из Кембриджского университета в Соединенном Королевстве раскрыли обнаруженный еще 25 июля вектор атаки Trojan Source, позволяющий внедрять уязвимости в исходный код программного обеспечения таким образом, чтобы рецензенты не могли их обнаружить, что создает угрозу популярному ПО и цепочкам поставок.
Trojan Source использует простой прием, который не требует модификации компилятора или прочих ухищрений, затрагивая C, C ++, C #, JavaScript, Java, Rust, Go и Python. Вся фишка состоит в использовании управляющих символов Unicode для изменения порядка токенов в исходном коде на уровне кодирования.
Как выяснилось, используя управляющие символы, встроенные в комментарии и строки, злоумышленник может переупорядочить исходный код, чтобы не меняя визуальной картинки изменить его логику таким образом, чтобы создать уязвимость, которую можно впоследствии поэксплуатировать.
Реализация Trojan Source происходит по двум сценариям: CVE-2021-42574 (или двунаправленная атака) и CVE-2021-42694 (гомоглифическая атака).
В первом случае применяются элементы управления Unicode для двунаправленного текста, чтобы определять направление, в котором отображается контент. К примеру, LRI и RLI. Двунаправленные (Bidi) элементы управления LRI и RLI являются невидимыми символами, и они не единственные. Вводя эти инструкции, компилятор может скомпилировать код, полностью отличный от того, что видит человек.
Внедряя символы переопределения Unicode Bidi в комментарии и строки, злоумышленник может создать синтаксически корректный исходный код на большинстве современных языков, для которого порядок отображения символов представляет собой логику, отличающуюся от реальной логики.
Второй вариант атаки основывается на применении гомоглифов, то есть разных символов, которые хоть и имеют одинаковое визуальное представление, но реализуют разный функционал. Человеческий глаз будет видеть обе функции идентичными, в то время как компилятор различает латинскую «H» и кириллическую «H» и обрабатывает код как имеющий две разные функции, поэтому результат разным.
Оказывается также, что символы Bidi сохраняются при копировании/вставке в большинстве браузеров, редакторов и операционных систем. Trojan Source работает практически во редакторах кода и веб-репозиториях (оцените сами ниже в таблице)
За свои изыскания научные деятели получили в среднем 2 246 долларов по bugbounty. На GitHub они предоставили PoC, которые демонстрируют, насколько серьезной угрозой может быть атака: тем более, что Trojan Source затрагивает почти все компьютерные языки, а патчи еще толком не выпущены, оставляя уязвимыми почти два десятка поставщиков программного обеспечения.
Trojan Source использует простой прием, который не требует модификации компилятора или прочих ухищрений, затрагивая C, C ++, C #, JavaScript, Java, Rust, Go и Python. Вся фишка состоит в использовании управляющих символов Unicode для изменения порядка токенов в исходном коде на уровне кодирования.
Как выяснилось, используя управляющие символы, встроенные в комментарии и строки, злоумышленник может переупорядочить исходный код, чтобы не меняя визуальной картинки изменить его логику таким образом, чтобы создать уязвимость, которую можно впоследствии поэксплуатировать.
Реализация Trojan Source происходит по двум сценариям: CVE-2021-42574 (или двунаправленная атака) и CVE-2021-42694 (гомоглифическая атака).
В первом случае применяются элементы управления Unicode для двунаправленного текста, чтобы определять направление, в котором отображается контент. К примеру, LRI и RLI. Двунаправленные (Bidi) элементы управления LRI и RLI являются невидимыми символами, и они не единственные. Вводя эти инструкции, компилятор может скомпилировать код, полностью отличный от того, что видит человек.
Внедряя символы переопределения Unicode Bidi в комментарии и строки, злоумышленник может создать синтаксически корректный исходный код на большинстве современных языков, для которого порядок отображения символов представляет собой логику, отличающуюся от реальной логики.
Второй вариант атаки основывается на применении гомоглифов, то есть разных символов, которые хоть и имеют одинаковое визуальное представление, но реализуют разный функционал. Человеческий глаз будет видеть обе функции идентичными, в то время как компилятор различает латинскую «H» и кириллическую «H» и обрабатывает код как имеющий две разные функции, поэтому результат разным.
Оказывается также, что символы Bidi сохраняются при копировании/вставке в большинстве браузеров, редакторов и операционных систем. Trojan Source работает практически во редакторах кода и веб-репозиториях (оцените сами ниже в таблице)
За свои изыскания научные деятели получили в среднем 2 246 долларов по bugbounty. На GitHub они предоставили PoC, которые демонстрируют, насколько серьезной угрозой может быть атака: тем более, что Trojan Source затрагивает почти все компьютерные языки, а патчи еще толком не выпущены, оставляя уязвимыми почти два десятка поставщиков программного обеспечения.
Secure software supply chain: why every link matters
The new threats in software development are not only related to the specific company itself. The whole software supply chain is a target for attackers and it is really important to make sure that we put all our effort into securing each link because if one fails, everything will be affected.
https://sysdig.com/blog/software-supply-chain-security/
The new threats in software development are not only related to the specific company itself. The whole software supply chain is a target for attackers and it is really important to make sure that we put all our effort into securing each link because if one fails, everything will be affected.
https://sysdig.com/blog/software-supply-chain-security/
Sysdig
Software supply chain attacks: why every link matters
It is impossible to secure everything, you have to focus on protecting each layer from software supply chain attacks.
Вакансия от Positive Technologies (PT Application Inspector)
Ищем C#-разработчиков на проект движка анализа кода для PT Application Inspector. Наукоёмкие задачи, компиляторные технологии, чуть-чуть аппсека и никакого кровавого энтерпрайза (весь проект представляет собой сетевое консольное приложение с некоторым количеством библиотек).
Более подробно: https://hh.ru/vacancy/43539774?from=employer
Ищем C#-разработчиков на проект движка анализа кода для PT Application Inspector. Наукоёмкие задачи, компиляторные технологии, чуть-чуть аппсека и никакого кровавого энтерпрайза (весь проект представляет собой сетевое консольное приложение с некоторым количеством библиотек).
Более подробно: https://hh.ru/vacancy/43539774?from=employer
spb.hh.ru
Вакансия C# разработчик (PT Application Inspector) в Санкт-Петербурге, работа в компании Positive Technologies (вакансия в архиве…
Зарплата: не указана. Санкт-Петербург. Требуемый опыт: 3–6 лет. Полная занятость. Дата публикации: 15.01.2022.
Forwarded from Positive Events
Горячие подробности The Standoff: день #1 🔥
⏰ С 11:00 на киберполигоне вас ждут экскурсии по инфраструктуре города-государства: мы познакомимся с программой кибербитвы, заглянем к защитникам в SOC-центр, узнаем тренды промышленной кибербезопасности и принципы работы команд обеих сторон.
⏰ В 12:30 начнется презентация платформы для проведения киберучений нон-стоп, а после этого участники команд атаки и защиты расскажут об устройстве полигона, а также дадут свои прогнозы на исход учений.
Ждем вас в прямом эфире The Standoff 👉 https://standoff365.com
#TheStandoff #security #cybersecurity #IT #DevSecOps
⏰ С 11:00 на киберполигоне вас ждут экскурсии по инфраструктуре города-государства: мы познакомимся с программой кибербитвы, заглянем к защитникам в SOC-центр, узнаем тренды промышленной кибербезопасности и принципы работы команд обеих сторон.
⏰ В 12:30 начнется презентация платформы для проведения киберучений нон-стоп, а после этого участники команд атаки и защиты расскажут об устройстве полигона, а также дадут свои прогнозы на исход учений.
Ждем вас в прямом эфире The Standoff 👉 https://standoff365.com
#TheStandoff #security #cybersecurity #IT #DevSecOps
Standoff365
Standoff 365
Standoff 365 — платформа для исследователей безопасности, которая включает в себя киберполигон, багбаунти и митапы.