💻 Безопасность приложений Node.js Security

SQL инъекции: github.com/How...
Path traversal: github.com/How...

[@dimitro.cardellini]

Хранение соли для пользователя конечно увеличит сложность подбора паролей. Т.к. если соль одна, то достаточно прогнать словарь паролей с этой одной солью еще раз через хеш-генераторы, и сразу получить все использованные пароли. Если для каждого пользователя соль разная, то словарь стандартных паролей, придется прогонять с каждой такой солью. Идеально, если соли хранятся в key-value storage отдельно от базы, но для каждого пользователя. Украсть две базы сложнее, чем украсть одну )

[@TimurSevimli]

Спасибо большое, было интересно!

[@erwererwrwr]

моё почтение, Тимур, как обычно)! Смотрю и вдохновляет прямо уровень знаний и понимание. Увы, куда-то потерял и не могу найти из плейлистов видео по созданию очередей для частичного решения проблемы блокировки потока ноды, могли бы, пожалуйста, ссылкой поделиться?

[@TimurShemsedinov]

Вот тут kzbin.info/www/bejne/rYqkY5Z_h75_paM

[@erwererwrwr]

@@TimurShemsedinov благодарствую

[@PerfectSwingDance]

1:00:16 из браузера такое провернуть не получается

[@PerfectSwingDance]

Спасибо!

[@Скыбыдыщь]

хорошо, а какая тогда альтернатива сохранения в request, когда мы например проверили токен и положили найденного юзера в request.user в ПО, что делать вместо этого?

[@TimurShemsedinov]

Выходов сотни, данные для соединения можно хранить в замыканиях, коллекциях, композиция и агрегация классов, можно использовать async localstorage и async_hooks, да что угодно. Примеры того, как писать без примесей у меня в курсе и в открытом есть, ну вот хоть тут kzbin.info/www/bejne/Y5LdamRojad2q5o и тут kzbin.info/www/bejne/ipDafIurjLxnjdE а так вообще там десятки лекций и репозиториев с примерами кода

[@Скыбыдыщь]

@@TimurShemsedinov в доке неста указано что сохранять в req.user = user это хорошая практика. Проблема - конфликт, но у каждого запроса разве не свои объекты request response?

[@TimurShemsedinov]

@@Скыбыдыщь У каждого запроса свои, но асинхронное программирование позволяет доступаться к свойствам из разных мест программы, разных обработчиков и после любой асинхронной операции вы уже не можете быть уверены, что хранится в свойстве и есть ли оно. Смотрите доклад kzbin.info/www/bejne/iISbqWppr5mWqas

[@HelloGoodbye-f6q]

Будет ли урок по fail2ban, selinux и т.д?

[@TimurShemsedinov]

Нет, я про них знаю, но маловато, это выходит за пределы моей компетенции, это уже не программирование, а управление окружением.

[@dimitro.cardellini]

Уточнение по хранению паролей с солями. Просто хэш от пароля (от любого алгоритма) хранить нельзя по той причине, что есть словари стандартных паролей, для которых уже давно посчитаны хэши, что в случае утечки базы скомпроментирует, если не все, то значительную часть паролей. И дальше, да -- каскадный взлом.

[@ilnurryazhapov]

Это новая лекция?

[@TimurShemsedinov]

Сегодня записана, 28 ноября 2019, час назад закончилась

[@ilnurryazhapov]

@@TimurShemsedinov супер!

[@Скыбыдыщь]

а можно мине лайкосик?