Есть неприятная особенность интернета: однажды зарегистрировался на каком-нибудь сайте, забыл о нём через пару лет, а потом выясняется, что его база данных давно гуляет по сети.

И ладно, если вместе с ней утекло только старое имя пользователя. Куда интереснее ситуация, когда в той же базе оказались почта и пароль. Особенно если этот пароль до сих пор подходит к вашему основному аккаунту.

Хорошая новость: проверить часть таких утечек можно самостоятельно, причём бесплатно. Плохая — волшебной кнопки «проверить вообще всё» пока нет.

— Сегодня разберёмся, где искать следы утечек, как правильно понимать результаты и что делать, если ваши данные действительно засветились.

Читать далее

Товарищи, 6 часов назад я просто хотел зарегистрироваться на одном государственном сервисе и спокойно лечь спать, но сейчас, в три, мать его, часа ночи я сижу и пишу этот текст потратив свой вечер на responsible disclosure и попытки выяснить, кто же в этой богадельне отвечает за протоколы безопасности, что бы моё письмо не ушло в почту тому же "специалисту" который накатил коробочный Liferay с дефолтными конфигами и сейчас спокойно сопит в своей постельке.

Выговорился. А теперь - к делу.

Пароль от тестовой базы лежит в .env, токен внешнего API — в переменных CI, доступ к production передают через корпоративный менеджер паролей. Новый разработчик собирает конфигурацию по нескольким источникам, а после смены пароля кто-нибудь обязательно запускает приложение со старым значением.

Пока сервисов и сотрудников немного, с этим можно жить. С ростом команды появляются вопросы: кто имеет доступ к секретам, где находятся их копии, как обновить credentials у всех потребителей и что произойдёт после отзыва доступа?

В этой статье разберём, как устроено централизованное хранение секретов, сравним восемь инструментов и посмотрим, что стоит проверить до внедрения. Основной практический сценарий — Java/Spring Boot, Gradle.

Читать далее

The new feature allows agents to log into a customer's personal accounts while still protecting the private credentials that secure those accounts.