Веб-разработчики пишут небезопасный код по умолчанию

Не мешай "молодому прогрессивному" самостоятельно пробежать по граблям. Товарисч ну очень хочет

Ну тут ты не прав. RiDDi достаточно компетентен во многих вопросах.

Ну а ошибки/заблуждения - ну у кого их не бывает ;)

Так я и не стебусь в остальных вопросах, только в том единственном, что инфобезопасник из него так себе (при том, что про физбезопасность излагает достаточно внятно, а прочего - просто не видел и посему не критикую)

При всём уважении.. ))

Строго говоря, если обратиться к базовым понятиям ИБ - уязвимость и источник угрозы формируют угрозу. Меры (защитные) направлены на минимизацию или устранение сочетаний уязвимость + источник угрозы..

Т.е. даже если у меня суперстарая версия CMS с кучей уязвимостей в админке, но я в .htaccess ограничил доступ к админке (принял меры) по одному IP (а ещё интереснее - по сочетанию IP + некий хитрый USERAGENT), то с достаточно большой вероятностью уязвимости административного раздела (в том числе и слабого пароля.. там же, кстати и уязвимости различного рода контент-менеджеров и загрузчиков файлов ) источник угрозы (злоумышленник) не достигнет..

p.s. Это не означает, что "лёгким движением руки" удаётся полностью на 100% обезопасить систему (сайт). Это всего лишь подтверждает, что ИБ - понятие комплексное

(пожалуй, более уместно, нежели "интегральное", однако, в некотором смысле они близки - можно почитать википедию /в контексте "всех сфер..."), а вовремя не закрытая (доступная для источника угроз - злоумышленника) уязвимость на уровне OS, web-сервера или почтового сервера вполне может свести на нет все ранее принятые защитные меры..

У многих в проектах файл с доступом в базу лежит в открытом доступе, вместе со ссылкой на пхпмайадмин для входа в нее, потому что "заказчику так удобнее"©

А тут на полном серьезе рассуждают достаточно ли криптоустойчив sha или надо использовать bcrypt, давайте еще преимущества i++ над ++i обсудим что-ли 😂

Более того, взлом старых CMS возможен не только с использованием админ доступа. Уязвимости находят в совсем не ожидаемых местах.

Я про вектор совершено согласен и специально обрезал цитату, чтобы акцентировать даже не RiDDi , а скорее читателей топика именно на этом аспекте "секретности".

Вот как раз отличный пример. И взглянув шире (абстрагируясь от конкретики) - он показывает, что можно обойти кучу защит, но никакая "последняя миля" (в контексте топика - пароль) не будет лишней. Тем более что для её реализации не требуется особых усилий и ресурсов.

+100500

"безопасность это долгая и кропотливая работа с яркой систематической составляющей." (с)RiDDi :)

Если разраб не может объяснить заказчику опасность таких хотелок - это говноразраб. Об таких и топик.

Можно предметно рассказать, о чем речь? Что за рынок логов и по какому параметру производилась "группировка данных"?

А на каких фреймворках писали эти разрабы?

А такие вот ласточки от таких разработчиков

Утечка 28 млн записей, используемых в платформе биометрической идентификации BioStar 2 :