https://courses.digitable.life/tags/%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D1%8C/ Recent content in Безопасность on Digitable courses Hugo ru-RU Sat, 01 Aug 2026 00:12:59 +0300 https://courses.digitable.life/post/networking/05-dns/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/networking/05-dns/ Распределённая база, на которой держится интернет: дерево зон и делегирование, все типы записей от A до HTTPS/SVCB, полный путь резолва от getaddrinfo до корневого сервера, формат сообщения по байтам, честная механика TTL и негативного кэша, DNSSEC, DoT/DoH/DoQ — с выводом dig, tcpdump, resolvectl и разбором того, что видно в Wireshark. https://courses.digitable.life/post/embedded/08-iot-connectivity/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/embedded/08-iot-connectivity/ Как выбирать радио под задачу, во что обходится каждый байт в эфире, как устроены BLE и LoRaWAN изнутри, почему MQTT стал языком IoT и что именно нужно сделать, чтобы устройство в поле не стало чужим. https://courses.digitable.life/post/security/07-jwt-and-tokens/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/security/07-jwt-and-tokens/ Как устроен JWT изнутри, какие проверки обязательны при верификации, почему stateless-токен плохо отзывается, как делать ротацию ключей и refresh-токенов — и в каких системах обычная серверная сессия честнее и безопаснее. https://courses.digitable.life/post/security/06-oauth-and-oidc/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/security/06-oauth-and-oidc/ Как устроено делегирование доступа и вход через провайдера: роли и токены, authorization code с PKCE, почему остальные потоки признаны небезопасными, и разбор двенадцати ошибок внедрения — от нестрогого сравнения redirect_uri до access-токена, принятого за удостоверение личности, с кодом починки и тестами. https://courses.digitable.life/post/security/02-owasp-top-10/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/security/02-owasp-top-10/ Как собирается и как читается список OWASP Top 10, почему он не чеклист и не стандарт, и что конкретно делать по каждой из десяти категорий: уязвимый код, механика, исправление и способ убедиться, что починено. https://courses.digitable.life/post/security/04-xss-and-csrf/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/security/04-xss-and-csrf/ Почему браузер исполняет чужой код и отправляет ваши куки кому попало: механика XSS и CSRF, пять контекстов экранирования, строгий CSP на nonce, SameSite и токены, clickjacking, CORS, postMessage и prototype pollution — с уязвимым кодом, исправлением и тестом на каждый случай. https://courses.digitable.life/post/security/08-authorization/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/security/08-authorization/ Почему сломанный контроль доступа — уязвимость №1 в OWASP Top 10, чем RBAC отличается от ABAC и ReBAC, где в коде обязана стоять проверка прав и как не дать одному арендатору увидеть данные другого. https://courses.digitable.life/post/security/05-authentication/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/security/05-authentication/ Как устроен вход в систему изнутри: почему пароли хешируют памятеёмкими функциями, как не сломать сессию, что реально даёт второй фактор и почему восстановление доступа — самый частый чёрный ход. https://courses.digitable.life/post/security/14-secure-coding/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/security/14-secure-coding/ Как превратить разрозненные знания об уязвимостях в повседневный процесс: безопасные умолчания в коде, ревью с прицелом на права и границы, честная картина того, что видят SAST, DAST, SCA и фаззинг, гейты в CI без блокирующего шума и роль security-чемпиона. https://courses.digitable.life/post/security/11-api-security/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/security/11-api-security/ Почему у API нет интерфейса, который что-то прячет: BOLA и IDOR, массовое присвоение и утечка полей, валидация как контракт, token bucket на Redis, SSRF из вебхуков и инвентарь маршрутов — с уязвимым кодом, исправлением и тестом на каждый случай. https://courses.digitable.life/post/operating-systems/09-security-and-isolation/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/operating-systems/09-security-and-isolation/ Как ядро решает, можно ли процессу сделать то, что он просит: биты прав и ACL, разбор root на 41 capability, мандатный доступ через LSM, seccomp-фильтры, namespaces и cgroups, jails во FreeBSD, pledge в OpenBSD, sandbox в macOS и токены в Windows NT. https://courses.digitable.life/post/devops/17-security-in-pipeline/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/devops/17-security-in-pipeline/ Как перестать быть слабым звеном: управление секретами через OIDC вместо ключей, защита от атак на цепочку поставок, SBOM и подпись образов через cosign, честное сравнение SAST/DAST/SCA по стоимости и эксплуатационной нагрузке. https://courses.digitable.life/post/web3/06-contract-security/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/web3/06-contract-security/ Классы уязвимостей смарт-контрактов на уровне механики EVM: reentrancy включая read-only, арифметика и округление, контроль доступа, странные токены, манипуляция оракулом, MEV и подписи — плюс инструменты анализа, устройство аудита и жизнь протокола после деплоя. https://courses.digitable.life/post/mobile/10-security/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/mobile/10-security/ Почему мобильное приложение — это код на устройстве противника: модель угроз, Keychain и Keystore по классам доступности, биометрия, которая действительно что-то доказывает, честная цена сертификатного пиннинга, реверс-инжиниринг и аттестация — с кодом на Swift, Kotlin, Dart и TypeScript. https://courses.digitable.life/post/security/00-overview/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/security/00-overview/ Вход в трек прикладной безопасности: чем уязвимость отличается от бага, что такое границы доверия и поверхность атаки, как устроен словарь CWE/CVE/CVSS/EPSS, восемь принципов защитного проектирования и единая схема разбора каждой уязвимости — уязвимый код, механика, исправление, проверка. https://courses.digitable.life/post/security/13-supply-chain/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/security/13-supply-chain/ Как чужой код становится вашим кодом, где именно в конвейере его можно подменить, зачем нужны lock-файлы с хешами, SBOM и VEX, и как подписывать и проверять артефакты так, чтобы проверка что-то значила. https://courses.digitable.life/post/ai-engineering/14-safety-and-injection/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/ai-engineering/14-safety-and-injection/ Почему prompt injection нельзя починить промптом, как строятся реальные утечки через агентов, какие архитектурные паттерны действительно держат атаку, и как поставить red teaming на конвейер с измеримыми метриками. https://courses.digitable.life/post/neural-networks/11-interpretability-and-safety/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/neural-networks/11-interpretability-and-safety/ Почему модель приняла такое решение, что с ней будет при сдвиге данных и атаке, и как выстроить эшелонированную защиту в проде: атрибуция и механистическая интерпретируемость, adversarial-примеры и сертифицированная устойчивость, калибровка, OOD, jailbreak и prompt injection. https://courses.digitable.life/post/security/03-injection/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/security/03-injection/ Единая механика всех инъекций — смешение канала данных и канала управления — и инженерные способы её разорвать: параметризация SQL, типобезопасные запросы к NoSQL, запуск процессов без шелла, шаблоны без пользовательского кода, плюс тесты и SAST-правила, которые не дают дефекту вернуться. https://courses.digitable.life/post/devops/05-containers-and-registries/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/devops/05-containers-and-registries/ Как устроен OCI-образ, как собирать его быстро и маленьким, где хранить, чем сканировать и подписывать — с рабочими Dockerfile, конфигами CI и честным расчётом стоимости реестра. https://courses.digitable.life/post/web3/07-wallets-and-keys/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/web3/07-wallets-and-keys/ Как 128 бит энтропии превращаются в 12 слов, дерево ключей и адреса, что физически происходит при подписи транзакции, почему аппаратный кошелёк не спасает от слепой подписи и какие потери доступа действительно необратимы. https://courses.digitable.life/post/web3/10-scaling/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/web3/10-scaling/ Инженерный разбор масштабирования блокчейнов: где именно упирается L1, как устроены оптимистичные и ZK-роллапы, что дали блобы EIP-4844, почему шардирование исполнения тяжелее шардирования данных и почему мосты остаются самой взламываемой частью Web3. https://courses.digitable.life/post/web3/03-consensus/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/web3/03-consensus/ Как сеть без начальника договаривается о единой истории: proof-of-work изнутри, proof-of-stake и Gasper, правила выбора форка, вероятностная и детерминированная финальность, экономика атаки 51% и что из всего этого следует для вашего кода. https://courses.digitable.life/post/security/01-threat-modeling/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/security/01-threat-modeling/ Как систематически находить дыры в собственном дизайне до того, как их найдут другие: DFD и границы доверия, STRIDE, оценка риска, деревья атак и превращение каждой угрозы в код и тест. https://courses.digitable.life/post/computer-science/16-security-basics/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/computer-science/16-security-basics/ Почему безопасность — это не последний слой поверх готовой системы, а свойство, которое должно держаться на всех слоях сразу: модель угроз и триада CIA, три кита криптографии (хеши, симметрия, асимметрия), как из них собирается HTTPS, чем аутентификация отличается от авторизации и где все эти абстракции честно протекают. https://courses.digitable.life/post/security/15-privacy-and-compliance/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/security/15-privacy-and-compliance/ Как инженерно работать с персональными данными: инвентаризация и классификация, минимизация вместо «соберём на всякий случай», псевдонимизация против настоящего обезличивания, сроки хранения и удаление, которое дотягивается до бэкапов, запросы субъектов, журнал аудита и автоматические проверки в CI. https://courses.digitable.life/post/security/09-applied-crypto/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/security/09-applied-crypto/ Как выбрать и правильно применить криптографический примитив: AEAD вместо самодельного шифрования, HMAC вместо хеша от секрета, HKDF вместо SHA-256 от пароля — и как убедиться, что в вашем коде это действительно так. https://courses.digitable.life/post/security/12-secrets-management/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/security/12-secrets-management/ Как перестать хранить пароли в репозитории: модель угроз секрета, честный разбор переменных окружения, конвертное шифрование и KMS, устройство Vault, динамические креды, ротация без простоя и детект утечек. https://courses.digitable.life/post/testing/10-security-testing/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/testing/10-security-testing/ Как тестировать то, чего в требованиях нет: модель угроз вместо чек-листа сканеров, разбор OWASP Top 10 с рабочими тестами, SAST/SCA/DAST/фаззинг в CI и честный разговор о шуме, ложных срабатываниях и слепых зонах автоматики. https://courses.digitable.life/post/security/10-transport-security/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/security/10-transport-security/ Как TLS 1.3 договаривается о ключах и почему подпись идёт по транскрипту, что на самом деле проверяет клиент в сертификате и какие строчки кода эту проверку отключают, зачем нужны CT, CAA и HSTS, где заканчивается ваш TLS внутри периметра, как строить mTLS без иллюзии авторизации и когда пиннинг спасает, а когда кладёт продукт. https://courses.digitable.life/post/git/08-hooks-and-automation/ Thu, 16 Jul 2026 10:00:00 +0300 https://courses.digitable.life/post/git/08-hooks-and-automation/ Хук — это программа, которую Git запускает на переходе между состояниями модели данных: индекс → объект коммита → локальная ссылка → ссылка на сервере. Разбираем точный контракт хуков, пишем правильный pre-commit, честно смотрим, где хуки бесполезны, переносим те же проверки в CI и доводим дело до подписи коммитов на уровне байтов объекта.