PSA: Jeśli używacie w swoich wyvibecodowanych projektach wrappera/proxy do modeli językowych, zwanego LiteLLM to sprawdźcie sobie jakie macie wersje, a jeśli instalowaliście wczoraj, to lepiej zrotujcie sobie wszystkie klucze jakie tam macie, zanim skończycie z rachunkami za pizdyliard tokenów i innych zasobów. ( ͡°( ͡° ͜ʖ( ͡° ͜ʖ ͡°)ʖ ͡°) ͡°)
Swoją drogą bardzo ładny case study ataku typu "supply chain". Wisienką na torcie jest to, że Trivy, narzędzie, przez które im wbili do CI/CD, to narzędzie "security".
@Yes_Man Jak u mnie w liceum. Kiedyś weszliśmy do pracowni informatycznej i kumpel siadając przy komputerze nauczyciela stwierdził, że hasło to pewnie nazwisko belfra. Wpisał i zadziałało.
Jako że często hejtuje różnych dostawców za brak poszanowania prywatności a jednoczenie chwalę #apple to nie mogę się powstrzymać i muszę dodać ten artykuł.
Polecieli w kulki czy nie polecieli :) odpowiedź moim zdaniem jest oczywista ale ciekaw jestem co powie sąd.
"Można się oburzać na Apple, szczególnie widząc porównania do „więziennego dziedzińca”, jednak to akurat wydaje się mocno nietrafione. Nikt siłą pana Bhaktę w Apple nie trzyma, w przeciwieństwie do osadzonych, którzy na prawdziwych więziennych dziedzińcach przebywają wbrew własnej woli (choć najczęściej na własne życzenie)."
Redaktorzyna niezły kuc sam korzystający z zupełnie innych praw niż pracownik w Stanach. Duża kwestia czy pracownicy mają to w umowie o pracę.
Korzystasz z plików .env w projektach Node.js? Istnieją co najmniej dwa powody, dla których nie warto tego robić!
Pierwszym problemem z plikiem .env jest to... że jest plikiem. Pliki .env często zawierają wrażliwe wartości np. hasła czy sekrety. Istnieje kilka sposobów na omyłkowe upublicznienie tego pliku, takie jak dołączenie go do obrazu dockerowego czy przypadkowy commit do repozytorium. Ponadto, osoba uprawniona do odczytu pliku ma dostęp do wszystkich zmiennych w nim zawartych!
Drugim problemem z plikami .env jest... wbudowane wsparcie dla nich od Node.js 20.6.0. Dotychczas, jednym ze sposobów na pracę z plikami .env była paczka dotenv. Mimo dodania wsparcia w Node prawdopodobnie w wielu projektach ta paczka pozostanie... a jest to błąd! Dalsze wsparcie dla tej paczki, w kontekście ostatnich zmian w Node.js mija się z celem, przez co szansa na naprawianie błędów (w tym błędów bezpieczeństwa) maleje.
@elszczepano Czy ja dobrze zrozumiałem że jednym z argumentów przeciwko plikom dotenv jest ich natywne wsparcie przez nodejs? Świat JSa nigdy nie przestanie mnie zaskakiwać xD
Inne ekosystemy: Hej nasz framework dodał coś, do czego wcześniej używaliśmy zewnętrznej biblioteki, więc możemy z niej bezpiecznie zrezygnować.
JS: Hej nasz framework dodał coś, do czego wcześniej używaliśmy zewnętrznej biblioteki, WIĘC MUSIMY NATYCHMIAST CAŁE TO ROZWIĄZANIE WYWALIĆ Z PROJEKTU I WSADZIĆ COŚ NOWEGO I MODNEGO, NAJLEPIEJ POWSTAŁEGO W ZESZŁYM TYGODNIU
( ͡° ͜ʖ ͡°)
Natomiast co do pierwszego argumentu to też średnio się zgadzam :v nie dość że zazwyczaj konfig tam jest związany mocno z lokalnym środowiskiem (no, może ewentualnie jakieś api keye do stagingu sie pojawią), to jeszcze przecież nikt tego ręcznie nie "odznacza" ani z commita ani z dockera tylko zajmują się tym odpowiednie configi których wystarczy nie ruszać. Ktoś chyba celowo by musiał regułę z gitignore wywalić?
I to nie tak że się całkiem z tezą nie zgadzam, ot podnoszę dialog xD
@Barcol jak myslisz, goscie od node.js nie ogarniaja czy moze jakis randomowy ziomek co prowadzi bloga jest w bledzie? Gosc prowadzi bloga i promuje sie tutaj. I niby spoko, ale jak sam pisze kodowanie profesjonalne zaczal w polowie 2018. Ja nie mialbym tyle odwagi zeby po tak krotkim czasie kreowac sie na eksperta.
.env jest spoko, to jest standard w js, koncepcja jest zrozumiala dla kazdego. Wystarczy tego nie wkomitowac na git'a i jest ok.
@666 Pięknie przedstawione pytanie: 3 tysiącę technicznych kontrybutorów, czy jeden random. Tylko że na community nodejs nie składa się jeden sam autor bloga, tylko rzesza ludzi o wiele większa niż gromada jego twórców, i w której to grupie ogrom jest osób, które jak sam zauważyłeś, są pewnie w błędzie. A to właśnie oni ustalają trend, jako grupa. Oni podejmują wybory, które w perspektywie czasu doprowadzają do upadku lub rozrostu danych rozwiązań. Humorystyczna wstawka jaką umieściłem z capslockiem ma za zadanie podkreślić, że akurat w świecie JSa (pewnie przez jego popularność) takie dziwne uciekanie od przestarzałych (czyli starszych niż rok) rozwiązań, na rzecz tych z zeszłęgo tygodnia/miesiąca, jest standardem. IMO doskonale oddaje to satyryczny artykuł (prehistoryczny, ma 7 lat i dwa tygodnie) dostępny tutaj: https://hackernoon.com/how-it-feels-to-learn-javascript-in-2016-d3a717dd577f
Żeby nie było że gadam bzdury bez poparcia: Jest taki nowy framework JSowy o nazwie Bun. W zasadzie to runtime, menadżer paczek, i wiele innych w jednym. Bun w pierwszej stabilnej wersji ma dopiero miesiąc. Już od paru osób słyszałem, że koniecznie muszą przepisać na niego swój projekt xD A dodatkowo już zdążył trafić np. do Railsów w wersji 7.1 XD
Co do konkluzji to sam używam chętnie dotenva i nie mam zamiaru go porzucać, natomiast nie mogę odmówić autorowi posta, że faktycznie dobrze jest go nie commitować xD A niewspierane paczki z lukami bezpieczeństwa - porzucać.
@regisek zdecydowanie polecam KeePassXC z lokalnie przechowywaną bazą haseł i z możliwością zintegrowania z przeglądarką, z kolei na Androidzie Keepass2Android - wszystko pięknie działa od paru ładnych lat
co wy macie cos tak tajnego ze az uzywacie hasel niemozliwych do zapamietania? i to wielu roznych ze manager potrzebny, podobno hmmm... ktos sie kiedys zapytal jakiegos super hackera dlaczego ma tak proste hasla, odpowiedzial ze jak jakis fachowiec sie uprze i bedzie chcial sie wlamac to i tak sie wlamie, a dla reszty te hasla sa wystarczajace
@Donnie_Darko największym problemem nie jest krótkość hasła (chociaż czasem też, ale baaardzo rzadko), ale wyciek danych z jednej ze stron, na której masz konto - a jako że duża część użytkowników ma te same albo bardzo podobne do siebie hasła na różnych stronach, to to jest najważniejsza furtka dla różnej maści złoczyńców. Mając menedżer haseł i automatycznie generując na każdej 20-znakowy ciąg sprawiam, że przy wycieku danych w jednym miejscu, nie muszę aktualizować haseł wszędzie indziej by cieszyć się bardzo dużym bezpieczeństwem
Cześć, pracował ktoś z was jako Vulnerability Management Engineer/ Vulnerability Scanning Engineer dla Fujitsu w Łodzi?
Jakie wrażenia, atmosfera, szkolenia itd.? Idealnie byłoby się też dowiedzieć jakie proponują widełki i sprzęt na jakim pracują. Niedługo mam drugi etap rozmowy o pracę i z chęcią dowiem się czy warto pchać się w to dalej - gowork niestety nie ma o nich dobrej opinii.
Zabezpieczenia na #wykop działają znakomicie. Przypominam, że jak jeszcze macie tam konto to są tam dane Waszego adresu e-mail, numer telefonu, hasło itd.
