#itsecurity
Pierwszym problemem z plikiem .env jest to... że jest plikiem. Pliki .env często zawierają wrażliwe wartości np. hasła czy sekrety. Istnieje kilka sposobów na omyłkowe upublicznienie tego pliku, takie jak dołączenie go do obrazu dockerowego czy przypadkowy commit do repozytorium. Ponadto, osoba uprawniona do odczytu pliku ma dostęp do wszystkich zmiennych w nim zawartych!
Drugim problemem z plikami .env jest... wbudowane wsparcie dla nich od Node.js 20.6.0. Dotychczas, jednym ze sposobów na pracę z plikami .env była paczka dotenv. Mimo dodania wsparcia w Node prawdopodobnie w wielu projektach ta paczka pozostanie... a jest to błąd! Dalsze wsparcie dla tej paczki, w kontekście ostatnich zmian w Node.js mija się z celem, przez co szansa na naprawianie błędów (w tym błędów bezpieczeństwa) maleje.
#programowanie #javascript #nodejs #bezpieczenstwo #cybersecurity #cybersecurity #itsecurity
Sprawdź linki, by dowiedzieć się więcej:
- https://dev.to/gregorygaines/stop-using-env-files-now-kp0
- https://nodejs.org/en/blog/release/v20.6.0
@elszczepano Czy ja dobrze zrozumiałem że jednym z argumentów przeciwko plikom dotenv jest ich natywne wsparcie przez nodejs? Świat JSa nigdy nie przestanie mnie zaskakiwać xD
Inne ekosystemy: Hej nasz framework dodał coś, do czego wcześniej używaliśmy zewnętrznej biblioteki, więc możemy z niej bezpiecznie zrezygnować.
JS: Hej nasz framework dodał coś, do czego wcześniej używaliśmy zewnętrznej biblioteki, WIĘC MUSIMY NATYCHMIAST CAŁE TO ROZWIĄZANIE WYWALIĆ Z PROJEKTU I WSADZIĆ COŚ NOWEGO I MODNEGO, NAJLEPIEJ POWSTAŁEGO W ZESZŁYM TYGODNIU
( ͡° ͜ʖ ͡°)
Natomiast co do pierwszego argumentu to też średnio się zgadzam :v nie dość że zazwyczaj konfig tam jest związany mocno z lokalnym środowiskiem (no, może ewentualnie jakieś api keye do stagingu sie pojawią), to jeszcze przecież nikt tego ręcznie nie "odznacza" ani z commita ani z dockera tylko zajmują się tym odpowiednie configi których wystarczy nie ruszać. Ktoś chyba celowo by musiał regułę z gitignore wywalić?
I to nie tak że się całkiem z tezą nie zgadzam, ot podnoszę dialog xD
@Barcol jak myslisz, goscie od node.js nie ogarniaja czy moze jakis randomowy ziomek co prowadzi bloga jest w bledzie? Gosc prowadzi bloga i promuje sie tutaj. I niby spoko, ale jak sam pisze kodowanie profesjonalne zaczal w polowie 2018. Ja nie mialbym tyle odwagi zeby po tak krotkim czasie kreowac sie na eksperta.
.env jest spoko, to jest standard w js, koncepcja jest zrozumiala dla kazdego. Wystarczy tego nie wkomitowac na git'a i jest ok.
@666 Pięknie przedstawione pytanie: 3 tysiącę technicznych kontrybutorów, czy jeden random. Tylko że na community nodejs nie składa się jeden sam autor bloga, tylko rzesza ludzi o wiele większa niż gromada jego twórców, i w której to grupie ogrom jest osób, które jak sam zauważyłeś, są pewnie w błędzie. A to właśnie oni ustalają trend, jako grupa. Oni podejmują wybory, które w perspektywie czasu doprowadzają do upadku lub rozrostu danych rozwiązań. Humorystyczna wstawka jaką umieściłem z capslockiem ma za zadanie podkreślić, że akurat w świecie JSa (pewnie przez jego popularność) takie dziwne uciekanie od przestarzałych (czyli starszych niż rok) rozwiązań, na rzecz tych z zeszłęgo tygodnia/miesiąca, jest standardem. IMO doskonale oddaje to satyryczny artykuł (prehistoryczny, ma 7 lat i dwa tygodnie) dostępny tutaj: https://hackernoon.com/how-it-feels-to-learn-javascript-in-2016-d3a717dd577f
Żeby nie było że gadam bzdury bez poparcia: Jest taki nowy framework JSowy o nazwie Bun. W zasadzie to runtime, menadżer paczek, i wiele innych w jednym. Bun w pierwszej stabilnej wersji ma dopiero miesiąc. Już od paru osób słyszałem, że koniecznie muszą przepisać na niego swój projekt xD A dodatkowo już zdążył trafić np. do Railsów w wersji 7.1 XD
Co do konkluzji to sam używam chętnie dotenva i nie mam zamiaru go porzucać, natomiast nie mogę odmówić autorowi posta, że faktycznie dobrze jest go nie commitować xD A niewspierane paczki z lukami bezpieczeństwa - porzucać.
Zaloguj się aby komentować
https://www.theregister.com/2023/08/12/veilid_privacy_data/
#ipfs #prywatnosc #itsecurity #e2e #internet #nsa #ciekawostki #tor
@radek-piotr-krasny Ciekawe, taguj #veilid jak będzie coś więcej o tym.
Zaloguj się aby komentować
#informatyka
Hej okazuje się że chyba muszę zmienić wszystkie hasła. Jaki manager haseł polecacie?
@regisek zdecydowanie polecam KeePassXC z lokalnie przechowywaną bazą haseł i z możliwością zintegrowania z przeglądarką, z kolei na Androidzie Keepass2Android - wszystko pięknie działa od paru ładnych lat
Dobry link: https://niebezpiecznik.pl/post/keepass-jak-zaczac-swoja-przygode-z-managerem-hasel/
co wy macie cos tak tajnego ze az uzywacie hasel niemozliwych do zapamietania? i to wielu roznych ze manager potrzebny, podobno hmmm... ktos sie kiedys zapytal jakiegos super hackera dlaczego ma tak proste hasla, odpowiedzial ze jak jakis fachowiec sie uprze i bedzie chcial sie wlamac to i tak sie wlamie, a dla reszty te hasla sa wystarczajace
@Donnie_Darko największym problemem nie jest krótkość hasła (chociaż czasem też, ale baaardzo rzadko), ale wyciek danych z jednej ze stron, na której masz konto - a jako że duża część użytkowników ma te same albo bardzo podobne do siebie hasła na różnych stronach, to to jest najważniejsza furtka dla różnej maści złoczyńców. Mając menedżer haseł i automatycznie generując na każdej 20-znakowy ciąg sprawiam, że przy wycieku danych w jednym miejscu, nie muszę aktualizować haseł wszędzie indziej by cieszyć się bardzo dużym bezpieczeństwem
Zaloguj się aby komentować
Jakie wrażenia, atmosfera, szkolenia itd.? Idealnie byłoby się też dowiedzieć jakie proponują widełki i sprzęt na jakim pracują. Niedługo mam drugi etap rozmowy o pracę i z chęcią dowiem się czy warto pchać się w to dalej - gowork niestety nie ma o nich dobrej opinii.
Wielkie dzięki za wszelkie odpowiedzi!
#it #cyberbezpieczenstwo #cybersecurity #lodz #fujitsu #pracawit #itsecurity #pracait #praca
@Wisienkowy hej! 7 lat to już trochę jest
@MHLDSW Były gorsze i lepsze momenty. Przedmówca nakreślił już jak wygląda to i owo. Na pewno nie jest to kołchoz jak GFT.
@Wisienkowy w przyszłym tygodniu powinienem dostać odpowiedź i może się przekonam jak tam u was jest
Zaloguj się aby komentować
#itsecurity #heheszki #memy
@AdmiralAwesome Ani z tych na wiecznej promocji.
Wiadomo, jak zapłacisz to na pewno nikt by nawet nie pomyślał o tym, by tak czy srak sprzedawać twoje dane ( ͡°( ͡° ͜ʖ( ͡° ͜ʖ ͡°)ʖ ͡°) ͡°)
Tak samo, jak przeceny z okazji likwidacji sklepu ( ͡° ͜ʖ ͡°)
tutaj trochę źródeł dlaczego darmowe vpny są niebezpieczne: https://bezpiecznyvpn.pl/niezaufane-uslugi-vpn/
Zaloguj się aby komentować
#itsecurity #cyberbezpieczenstwo
@AdmiralAwesome o boze przeczytalem i juz sie wystraszylem ze bitwarden sie popsul xD uff
@AdmiralAwesome Tak się podekscytowałem bo BitWarden to moje odkrycie roku 2022 i teraz nie wyobrażam sobie funkcjonowania bez niego, świetna rzecz.
@ColonelSanders jest najlepszy na świecie!
Zaloguj się aby komentować
Self-Hosting Security Guide for your HomeLab - YouTube
#homelab #itsecurity #selfhosted
@LM317T zapraszam do dołączenia do społeczności bo będzie ich znacznie więcej. ( ͡° ͜ʖ ͡°)
Zabieram się do przebudowania własnych labów (w dwóch różnych lokalizacjach) i postaram się robić z tego wpisy.
Zaloguj się aby komentować
#itsecurity #linux #internet
#wordpress
https://www.techzine.eu/news/security/98141/linux-based-malware-uses-30-wordpress-exploits-for-javascript-injections/?utm_source=dlvr.it&utm_medium=twitter
Zaloguj się aby komentować
@radek-piotr-krasny ziobro zaskoczenia
Internet explorer dzisiejszych czasów - wielka korporacja tworzy gównianą przeglądarkę, forsuje gówniane standardy jak Manifest V3, sprawia, że youtube zupełnym przypadkiem najszybciej chodzi akurat w ich przeglądarce. Szkoda, że to gówno jest tak popularne.
Internet Explorer to program, który służy do przeglądania internetu z Twojego komputera i na odwrót.
@cec @Quake ale tu do googla nie ma sie co czepiać, raczej do zjebów użytkowników. Jesli dla nich nie zapisywanie historii i czyszczenie cache jest "anonimowością" której przeglądarka nie zapewniła to ja nie mam pytań
Zaloguj się aby komentować
https://twitter.com/mysk_co/status/1579997801047822336
Zaloguj się aby komentować
A czemu to daje ? bo śmiechłem mocno czy ktoś się na takie cos nabierze.
Nie wiem jak Wy ale ja widząc te ofertę odrazu mam w głowie akcje z przed kilku miesiecy gdzie potajemnie rozprowadzane szyfrowane smartfony dla bossów mafii okazały sie być dziełem inżynierów NSA
@Geekweb ajj
Zaloguj się aby komentować
https://vx-underground.org/papers/VXUG/Exclusive/Bakounin/Writing_virus_in_MIPS_assembly_for_fun.txt
Zaloguj się aby komentować
Na razie wygląda na to że to potwierdzone info. Nie ma jeszcze komentarza FB niestety.
Jeśli to prawda to otwiera nowy obszar do ataków hakerskich, w których hakerzy będą używać tych danych by uwiarygodnić się w oczach odbiorców jako Facebook.
To niezbyt dobra wiadomość. Ale...
Jak się bronić przed taki atakami? Zawsze gdy dostajesz jakąkolwiek wiadomość od serwisu internetowego nie klikaj w linki w niej zawarte. Otwórz samemu serwis w przeglądarce. Obecnie mejle podszywające się pod serwisy internetowe i strony, które otwierają mogą wyglądać niemal identycznie jak prawdziwe.
https://www.businessinsider.com/stolen-data-of-533-million-facebook-users-leaked-online-2021-4?IR=T
#itsecurity #prywatnosc #facebook
Zaloguj się aby komentować