Sigstore to projekt Linux Foundation opracowany przez Google i Red Hat, a służący do podpisywania kodu. Nieodłączną słabością kodów typu Open Source jest to, że trudno określić ich pochodzenie i sposób, w jaki zostały zbudowane, co oznacza, że są one podatne na ataki w łańcuchu dostaw. Google postanowiło rozwiązać ten…
Czytaj dalej »
Interesujący research dotyczący plików PDF, a raczej serwisów które je przetwarzają. Autor wykorzystuje fakt często automatycznej konwersji (po stronie serwerowej) plików PostScript na PDF. Sam plik PostScript, jak sama nazwa wskazuje jest małym skryptem, który finalnie wyświetla się jako dokument, przykład z Wikipedii: %!PS /Courier % name the desired font…
Czytaj dalej »
Trzecia i ostatnia część z serii o deserializacji w Javie i problemów za tym idących. Tym razem dowiemy się jakie mamy strategie zabezpieczenia się przed atakami.
Czytaj dalej »
FxCop jest jednym z najczęściej używanych programów do statycznej analizy kodu przez programistów korzystających z Visual Studio. Wprawdzie FxCop nie jest kojarzony stricte z narzędziami do wykrywania luk bezpieczeństwa — jednak w pewnym zakresie FxCop testuje duży zakres błędów bezpieczeństwa — zarówno tych podstawowych, jak i bardzo zaawansowanych.
Czytaj dalej »
Skoro wiemy już, czym jest statyczna analiza kodu w kontekście bezpieczeństwa aplikacji, zobaczmy, jak możną ją przeprowadzić z wykorzystaniem darmowych narzędzi. Pierwszym z nich będzie CAT.NET, który wykrywa błędy bezpieczeństwa w aplikacjach rozwijanych w technologiach .NET.
Czytaj dalej »
W tym cyklu artykułów spróbujemy zrozumieć sens działania narzędzi dedykowanych statycznej analizie kodu, poznać ich mocne oraz słabe strony. Sprawdzimy też, które narzędzia warto wykorzystać do znajdowania nieefektywnych konstrukcji oraz fragmentów kodu noszących znamiona złych praktyk programistycznych czy nawet błędów bezpieczeństwa.
Czytaj dalej »
