Dvoufaktorová autentizace, jednorázová hesla zasílaná přes SMS nebo generovaná mobilní aplikací… Proč je všichni používají? A co musíte udělat, abyste je mohli používat také? Pokud vás trápí nedostatečná autentizace uživatelů statickým heslem, OTP je nejjednodušší a nejlevnější způsob, jak výrazně zvýšit její kvalitu. Ukážeme si, jak jednorázová hesla fungují a jak je naimplementovat do aplikace, používající ASP.NET Identity. Příklady ke stažení na http://www.cdn.altairis.cz/Prednasky/20150811-OTP.zip Záznam akce konané v Praze dne 11. srpna 2015
Rubrika Bezpečnost
Spousta lidí dnes používá pro ukládání dat, mnohdy i citlivých, přenosné flash disky. Když ale takový disk ztratíte, může se k datům dostat někdo nepovolaný. Řešení tohoto problému představuje například BitLocker To Go, nástroj vestavěný ve Windows 7 Enterprise a Ultimate.
Chcete šifrovat data a nehodláte (nebo nemůžete) používat BitLocker To Go? TrueCrypt je open source program, který je dostupný zdarma a pro několik platforem, včetně všech edic a verzí Windows. V tomto videu si ukážeme, jak lze vytvořit zašifrovaný kontajner a přechovávat v něm bezpečně důvěrná data.
Šifrování samo o sobě vám nepomůže proti "kryptoanalýze gumovou hadicí", tedy situaci, kdy vás útočník fyzickým nebo psychickým nátlakem donutí heslo vyzradit. TrueCrypt nabízí koncept "hidden volumes", tedy kontajnerů, které mohou mít dvojí obsah podle toho, jaké heslo se do nich zadá.
V předchozích dílech seriálu o vytvoření "zlé maliny" jsme si ukázali, jak na Raspberry Pi nainstalovat operační systém Raspbian, ASP.NET 5 a jak aplikaci pomocí nginxu vypublikovat do Internetu. Dnes z Raspberry vytvoříme Wi-Fi honeypot, tedy Wi-Fi access point, který každému dovolí, aby se připojil, a všechny HTTP požadavky bude směřovat sám na sebe.
Vytvořit funkční a bezpečný kryptosystém z kryptografických primitiv je dosti komplikované. Proto ASP.NET obsahuje možnost jak zašifrovat a digitálně podepsat data pomocí dvou jednoduchých metod, na kterých v podstatě není co zkazit.
Původně úložiště Windows Azure Storage neumožňovalo příliš jemné nastavení přístupových práv: data mohla být buďto veřejná, takže k nim mohl kdokoliv, nebo soukromá, takže k nim nemohl nikdo, kdo neznal klíč k úložišti. A zase pokud ho znal, mohl s ním dělat cokoliv. Již zhruba rok nicméně Azure umí takzvané Shared Access Signatures, tedy technologii, která umí přístup omezit operacemi nebo časově.
Microsoft zhruba před hodinou uveřejnil mimořádnou bezpečnostní aktualizaci pro ASP.NET, která zabraňuje možnému DoS útoku.
V řadě případů potřebujeme rychle vytvořit nějaké testovací certifikáty či přímo jejich logickou sestavu. Dlouhá léta jsem pro tento účel používal OpenSSL, ale nyní jsem zjistil, že vhodný nástroj je přímo součástí Windows SDK.
Vydal jsem novou verzi své knihovny Altairis Web Security Toolkit (dříve Simple ASP.NET SQL Providers), kterí se stala vcelku populární. Přináší oproti minulé verzi řadu vylepšení a nově také nezávislost na databází a ověřenou kompatibilitu s novým SQL Serverem Compact Edition.