تأیید هویت – نحوه انتقال کاربر / گذر از کاربر به API به صورت خودکار

من مطمئن نبودم که آیا این را در StackOverflow یا اینجا بپرسم، اما تصمیمی گرفتم که در اینجا مناسب تر است.

من یک اسکریپت محلی کاملا اتوماتیک ایجاد میکنم که در یک برنامه اجرا می شود. پس از راه اندازی، اسکریپت هرگز نباید هر گونه تعامل با کاربر را مورد نیاز باشد.

این اسکریپت نیاز به دسترسی به یک API وب دارد که تنها از احراز هویت کاربر / پاس استفاده می کند. من نیاز به پیدا کردن راه برای یک کاربر اجرای این اسکریپت و آن را به API از طرف آنها دسترسی داشته باشید.

من به عنوان خوانده شده https://stackoverflow.com/questions/2283937/how-shouldi-i-ethically-approach -user-password-storage-for-later-plaintext-retrie، و من متقاعد شده ام که ذخیره یک رمز عبور یک ایده بد است (حتی اگر همه مرورگرهای وب آن را انجام دهند). با این حال، API بعید است که هرگز ابزار جدید احراز هویت ایجاد کند، بنابراین من گیر هستم.

چه باید بکنم؟ صبر کنید تا API که ممکن است هرگز تغییر نکند؟ تظاهرات را انجام دهید و رمز عبور را ذخیره کنید؟ چیز دیگری؟

CCleaner Rolls Back Sketchy Update، وعده نکردن تنظیمات کاربر در نسخه آینده را لغو کند

Piriform، واکنش به واکنش گسترده، از تغییرات اخیر CCleaner جلوگیری کرد که باعث جلوگیری از جمع آوری داده ها شد.

نسخه 5.45 CCleaner اطلاعات سیستم ناشناس را جمع آوری می کند. کاربران می توانند این مجموعه داده را تنها برای CCleaner غیرفعال کنند تا تنظیمات را مجددا مجددا فعال کنند.

مرتبط: اینجا چیزی است که باید به جای CCleaner استفاده کنید

این باعث شد خشونت گسترده در هفته گذشته، با کاربران، طرفداران حفظ حریم خصوصی و روزنامه نگاران گریزان است. بنابراین Piriform، شرکت تابعه Avast پشت CCleaner، CCleaner را در طول آخر هفته کنار گذاشت.

این پست انجمن است که تغییر را اعلام کرد:

ما در حال حاضر در زمینه جداسازی عملکرد تمیز کردن از گزارش تجزیه و تحلیل و ارائه گزینه های کنترل بیشتر کاربر وقتی CCleaner بسته می شود به یاد می آید. ما همچنین یک برگه اطلاعاتی برای به اشتراک گذاشتن ایجاد میکنیم که اطلاعاتی را که جمعآوری میکنیم، برای اهداف و نحوه پردازش آنها مشخص میکنیم.

امروز ما حذف v5.45 و بازگشت به v5.44 به عنوان دانلود اصلی برای CCleaner در حالی که ما کار بر روی یک نسخه جدید با چندین بهبود کلیدی.

این یک گام است، برای اطمینان – برنامه تنظیمات کاربر پس از آن بسته را به یاد داشته باشید! چقدر خوب از آنها. نیازی نیست که بگوییم نسخه بعدی CCleaner نیاز به این الگوهای تاریک را به طور کامل ریزه می کند و کاربران دقیقا همان چیزی را که با داده هایشان اتفاق می افتد روشن می کند. ما احتمالا توصیه نمیکنیم بدون استفاده از CCleaner استفاده کنید.

لطف ما به لورنس آبرامز در Bleeping Computer و Venkat در Techdows برای نشان دادن این تحولات به ما

اعتبار تصویر: ben bryant / Shutterstock.com

فایروال ها – برای یک کاربر مخرب ممکن است آدرس آی پی LAN یک دستگاه بی نظیر را تغییر دهد

اساسا من یک شبکه محلی و یک IPCam (با ذخیره سازی خودم) در آن دارم. با توجه به برخی محدودیت های عملی، من نمی توانم از فن آوری هایی مانند انزوای AP یا VLAN برای جداسازی دستگاه های کم صدا و یکپارچه استفاده کنم.

در شبکه Wifi برخی کاربران مخرب وجود دارند (فرض کنید برخی از آنها وجود دارد) و من هستم با توجه به امنیت IPCam من

آنچه که من می خواهم انجام شود این است:

(1) ثابت آدرس آی پی IPCam؛

(2) تمام ترافیک ورودی را به IPCam IP (زمانی که مدیریت لازم است، من قصد دارم این قانون را به طور موقت غیر فعال کنم.)

بنابراین برای اولین گام، همانطور که می دانم، دو راه برای انجام آن وجود دارد:

(1) یک آدرس IP ثابت در داشبورد IPCam؛

(2) از سرویس DHCP روتر استفاده کنید و به طور ایستا IP را به IPCam (با آدرس MAC خود) اختصاص دهید.

شخصا من دو روش را ترجیح می دهم چون مدیریت متمرکز می شود (با توجه به اینکه من IPCams بسیاری). با این حال، برای روش دو، من فکر می کنم که مشتریان مخرب ممکن است IPCam (یا کل شبکه محلی) IPCam (چیزی که مربوط به ARP است) را جعل کند (یا هر ترتیبی که باید باشد).

بنابراین سوالات عبارتند از: آیا می توان آن را تحت روش دو انجام داد؟ در مورد روش اول چطور؟ آیا روش یکی امن تر است؟

اگر کل طرح خوب نیست، آیا راه حل های بهتر از خرید روترهای جدید / فایروال های که پشتیبانی از انزوا AP / VLAN وجود دارد؟

با تشکر

xss – حفاظت از وب سایت در برابر حملات با iframe برای جاوااسکریپت تولید شده توسط کاربر؟

من یک زمین بازی کوچک برای مردم برای نوشتن و تست جاوا اسکریپت در وب سایت من ایجاد میکنم. من می دانم که وبسایت هایی مانند jsfiddle در حال حاضر وجود دارد، اما فقط برای سرگرمی و برای تلاش برای چیزی جدید است.

اکنون می دانم که مردم می توانند سایت من را خیلی بد با XSS و چیزهای دیگر هک کنند، بنابراین من چند راه برای جلوگیری از ویرانی آوردم :

  1. به طور معمول، مردم جاوا اسکریپت و HTML خود را در یک فرم می نویسند. این متن خالص است هیچ چیز کارکردی نیست.

  2. وقتی میخواهید کد را آزمایش کنید، دادهها از www.A.com به www.B.com ارسال میشوند

  3. در این دامنه، دادهها به یک iframe با ویژگی sandbox در بدون گزینه "allow-top-navigation"

  4. سپس iframe به www.A.com فرستاده می شود

  5. www.A.com دریافت iframe و آن را به عنوان یک کودک به DOM اضافه می کند.

  6. کاربر می بیند iframe و می تواند با آن ارتباط برقرار کند.

آیا این به اندازه کافی امن است؟ یا من از دست رفته چیزی مهم است؟