Эпсилон

👨🏻‍💻 Ресурсы по безопасности, которые точно пригодятся По мере развития индустрии специалисты по безопасности черпают все новую и новую информацию. Но как понять, что знаний достаточно? Приведенные ниже ресурсы являются своего рода стартовым набором для специалистов, которые хотят писать более безопасный код и научиться выявлять уязвимости, прежде чем код перейдет в продакшн. 💻 Основы безопасности приложений (AppSec) The Basics of Web Application Security В этой статье Кейд Кэрнс из ThoughtWorks и Дэниел Сомерфилд из New Relic описали восемь фишек безопасности при создании веб-приложений. Security and Identity – Google’s Web Fundamentals Эта статья поможет понять и разобраться в HTTPS и CSP, а также узнать, как определить, был ли взломан ваш сайт, и что с этим делать. What should every programmer know about security? Ответ на этот вопрос размещен на Stack Overflow. Он дает хорошую базу знаний в области ключевых принципов безопасности. Это такие принципы, как: не доверять никакому входному сигналу, использовать глубокую защиту, придерживаться принципа наименьших привилегий и использовать моделирование угрозы. В ответах также есть списки книг и учебных курсов. Security by Design Principles - OWASP Сообщество Open Web Application Security Project (OWASP) создало этот ресурс, чтобы специалисты могли получить рекомендации, необходимые для создания безопасных приложений на этапе проектирования. Там можно найти ключевые принципы безопасности, их определения и примеры, узнать о десяти самых распространенных угрозах на сегодняшний день. Writing Security Code Эта часто рекомендуемая книга была написана специалистами по безопасности Microsoft Майклом Ховардом и Дэвидом Лебланом. Наряду с методами безопасного кодирования, книга охватывает следующие темы: ▪️ моделирование угроз ▪️ проектирование процесса безопасности ▪️ международные вопросы безопасности ▪️ вопросы файловой системы ▪️ добавление конфиденциальности к приложениям ▪️ исследование кода безопасности Джим Берд, технический директор BIDS Trading Technologies, говорит, что хоть книге и 15 лет, но основы безопасности программного обеспечения остаются неизменными. #полезные_ссылки #компьютерная_безопасность #программирование 🔵 Эпсилон // @epsilon_h

🥸 Hack & Crack — IT-чат, обсуждаем компьютерное железо, программирование, IT в целом, информационную безопасность в контексте программирования, современные компьютерные технологии, способы заработка в интернете. https://t.me/hack_cpp ( более 2500 подписчиков... ) 👨🏻‍💻 Ребятки, вступайте в наш IT-чат. Заявки от реальных людей принимаю сразу.

🎮 Sega Dreamcast — приставка, которая думала, но не дожила Это история о техническом прорыве, гениальных играх и колоссальных амбициях, разбившихся о жестокую реальность рынка. В конце 90-х Sega отчаянно нуждалась в реабилитации после коммерческих проблем с Saturn. Работа над новой системой велась параллельно двумя командами (японской и американской), и в итоге победил проект с процессором Hitachi SH-4 и графикой PowerVR. Консоль вышла 27 ноября 1998 года в Японии, но настоящим триумфом стал запуск в США 9 сентября 1999 года. Дату 9/9/99 активно использовали в рекламе, и старт оказался рекордным: за первые сутки продали более 225 тысяч консолей. Dreamcast была настоящей машиной будущего. Сами посмотрите, что она предлагала игрокам в 1999 году: ▪️ Первый онлайн-опыт: У консоли был встроенный модем. Можно было выходить в интернет, пользоваться браузером и играть по сети (например, в Quake III или Phantasy Star Online). ▪️ Уникальные контроллеры: Геймпад сам по себе был удобным, но главная фишка — карта памяти VMU (Visual Memory Unit). У нее был собственный экранчик! На нем можно было смотреть состояние персонажа в игре или даже играть в примитивные мини-игры, когда консоль выключена. ▪️ Мощь и объем: Вместо стандартных CD приставка использовала диски GD-ROM объемом 1,2 ГБ, что позволяло делать игры более красивыми и масштабными. Всего за полтора года активной жизни библиотека Dreamcast обросла таким количеством хитов, какого иным консолям не снилось за весь цикл: — Shenmue — прародитель симуляторов жизни с открытым миром — Sonic Adventure — первый полноценный 3D-платформер о еже — Jet Set Radio — эталон стиля и хип-хоп культуры — Crazy Taxi, Soul Calibur, Resident Evil: Code Veronica, Dead or Alive 2 Увы, но техническое совершенство не гарантирует успех. Причин падения несколько: ▫️Пришествие PlayStation 2: Когда Sony анонсировала PS2 с DVD-плеером на борту и невероятными (пусть и слегка преувеличенными) характеристиками, многие издатели просто переметнулись к конкуренту. ▫️Пиратство: Как это ни иронично для консоли с дорогим приводом GD-ROM, её быстро взломали, и диски с играми стали стоить копейки. Прибыль разработчиков падала. ▫️Финансы Sega: К тому моменту компания была истощена прошлыми неудачами и просто не могла позволить себе долгую ценовую войну или массивную рекламную кампанию. 31 марта 2001 года производство Dreamcast было прекращено . Sega объявила об уходе с рынка консолей, сосредоточившись на разработке игр. Для многих это стало шоком — ведь консоль была жива и на ней выходили отличные проекты вплоть до 2002 года. Несмотря на короткую жизнь, Dreamcast оставила неизгладимый след. Она научила индустрию тому, что онлайн — это важно, а эксперименты с периферией и нестандартными контроллерами (вспомните маракасы из Samba de Amigo или микрофон Seaman) делают мир игр разнообразнее. А у вас сейчас есть какая-нибудь консоль? Поделитесь в комментариях опытом использования. 🔵 Эпсилон // @epsilon_h

📗 Защищенный код [2005] Ховард, Лебланк В этой книге разработчики найдут практические советы и рекомендации по защите создаваемых приложений на всех этапах процесса создания ПО — от проектирования безопасных приложений и до тестирования для выявления брешей в готовой программе и создания безопасной документации и сообщений об ошибках. Здесь рассказывается о моделировании опасностей, планировании процесса разработки защищенных приложений, проблемах локализации и связанных с ней опасностях, недостатках файловых систем, поддержке конфиденциальности в приложениях и безопасной установке приложений. Авторы иллюстрируют свой рассказ примерами программ на самых разных языках — от C# до Perl. Издание обогащено знанием, полученным авторами в процессе реализации Windows Security Push — инициативы по укреплению защиты продуктов Microsoft. Книга будет полезной менеджерам проектов, архитекторам приложений, программистам, тестировщикам и техническим писателям, то есть абсолютно всем специалистам, вовлеченным в процесс разработки ПО, — как новичкам, так и профессионалам. 📘 Writing Secure Code: Practical Strategies and Proven Techniques for Building Secure Applications in a Networked World [2004] Michael Howard, David LeBlanc Keep black-hat hackers at bay with the tips and techniques in this entertaining, eye-opening book! Developers will learn how to padlock their applications throughout the entire development process—from designing secure applications to writing robust code that can withstand repeated attacks to testing applications for security flaws. Easily digested chapters reveal proven principles, strategies, and coding techniques. The authors—two battle-scarred veterans who have solved some of the industry’s toughest security problems—provide sample code in several languages. 🔵 Эпсилон // @epsilon_h

📗 Защищенный код [2005] Ховард, Лебланк 📘 Writing Secure Code: Practical Strategies and Proven Techniques for Building Secure Applications in a Networked World [2004] Michael Howard, David LeBlanc 💾 Скачать книги «Хакер – это кто-то, кто любит делать вещи и очарован сложными системами, которые ему нравится создавать, расширять и ломать». ©️Энди Херцфельд. #программирование #уязвимости #хакинг #hack #безопасность 🔵 Эпсилон // @epsilon_h

🎮 Откуда берутся пиксельные шедевры? Секреты создания игр и живых обоев Если вы думаете, что пиксель-графика — это просто «квадратики», которые рисуют в блокноте, вы удивитесь, насколько это глубокая и технологичная вселенная. Давайте заглянем за кулисы и узнаем, как создаются те самые гипнотичные заставки и игры. ✍️ Ручная работа: Художник + Программа Вопреки стереотипам, даже в век ИИ большинство профессиональных пиксель-артов создается вручную. Это не просто «уменьшение картинки», а ювелирная работа. Основные инструменты — специализированные редакторы вроде Aseprite, Piskel (онлайн) или Pixelorama. Они заточены именно под пиксель-графику. Главные приёмы мастеров: — Контроль каждого пикселя: Кривые линии здесь рисуют не от руки, а выстраивают по особой технике, чтобы не было «лесенок» (ступенчатости). — Ограниченная палитра: Чтобы сохранить стиль «ретро», художники часто используют не более 16–32 цветов. — Dithering: Это когда пиксели двух цветов смешиваются в шахматном порядке, чтобы создать иллюзию третьего оттенка или плавной тени — Анимация: Каждый взмах руки персонажа — это отдельные кадры, отрисованные вручную (frame-by-frame). 👨🏻‍💻 Алгоритмы и магия кода А вот тут самое интересное. Создатели современных живых обоев используют гибридный подход. Процесс часто выглядит так: ▪️ 1. Создание слоев: Художник рисует в векторе (например, в Inkscape) отдельные элементы: облака, горы, самолет. ▪️ 2. Оживление кодом: Эти слои загружаются в движок (например, Blender или специальные программы для обоев). Здесь вступает в силу алгоритм параллакса. Ближние слои двигаются быстрее, дальние — медленнее. Это создает иллюзию 3D и полета . ▪️ 3. Зацикливание: Программа просчитывает, чтобы финальный кадр идеально совпадал с первым, и анимация шла вечно без «швов». 🔥 Хай-тек: Генеративные алгоритмы и ИИ ▪️ Генетические алгоритмы: Есть проекты (например, GA-Pixel-Art), где программа берет случайный шум и тысячами поколений «мутирует», пытаясь превратиться в заданную картинку. Получается завораживающее GIF, где из хаоса проступает изображение. ▪️ Нейросети (AI): Уже существуют связки вроде RetroDiffusion, где два ИИ (Художник и Критик) спорят друг с другом. Один генерирует картинку, второй ругает, и так по кругу, пока не получится идеальный ретро-кадр. Человек может вмешаться в любой момент и подсказать. ▪️ Автоматизация ретро-стиля: Ученые придумали алгоритмы (например, Superpixelator), которые берут обычную векторную картинку и автоматически превращают ее в четкий пиксель-арт, убирая артефакты и сглаживая углы так, как это сделал бы человек. Пиксель-арт сегодня — это симбиоз старой школы и новых технологий. С одной стороны, это контроль художника над каждым квадратиком , с другой — мощные алгоритмы нейросети, генерирующие спрайты по текстовому описанию. Хотите попробовать сами? Начните с бесплатных Piskel или Pixelorama. Нарисуйте простого персонажа, а потом экспортируйте как GIF. Чтобы превратить его в живые обои, можно использовать программы вроде Lively Wallpaper (для ПК), которые «скормят» вашу гифку и заставят её двигаться. 🔵 Эпсилон // @epsilon_h

🖥 Константин Владимиров — О денотации: разрешение имен и его пересмотр в C++23 Этот доклад — попытка сделать темную и мрачную область разрешения имен в C++ простой и ясной для практикующего программиста. автор: CppRussiaConf 🔵 Эпсилон // @epsilon_h

🛡 Практика и курсы по вопросам безопасности SAFECode Сто сокровищница знаний по безопасности, которая включает в себя бесплатное онлайн-обучение, руководство по моделированию угроз и рекомендации по безопасной разработке приложений. Это также множество бесплатных, высококачественных ресурсов, которые постоянно пополняются. Cyber Security Base Бесплатный онлайн-курс, который отлично подходит для начала обучения безопасному кодированию. Он начинается с основ кибербезопасности и общих уязвимостей веб-приложений, а затем переходит к обнаружению, устранению и созданию уязвимостей. Далее курс затрагивает такие темы: ▪️ безопасная архитектура ▪️ сетевая безопасность ▪️ криптография ▪️ тестирование на проникновение ▪️ CTF Есть тесты и задания для каждого раздела. Все примеры представлены на Java (но вы можете выполнять задания на любом языке). SEI CERT Coding Standards Институт программной инженерии Карнеги-Меллон (SEI) собрал эти полезные правила и рекомендации по безопасному кодированию. Следует ознакомиться с безопасными стандартами кодирования для C, C++, Java, Perl и Android, а также прочитать о 10 лучших методах безопасного кодирования. Cybrary Cybrary – платформа с открытым исходным кодом, созданная для обучения безопасности и подготовки к сертификации. Контент бесплатный, но включает в себя бесценные материалы. Open Security Training – Into to Security Coding Сайт с открытым исходным кодом, наполненный учебными пособиями по различным темам компьютерной безопасности. Также здесь можно обучиться основам по стратегиям безопасного кодирования. Обучение включает в себя введение в оценку уязвимости, обзоры правильного кода, криптографию, эксплойты ПО и т. д. Computer System Security – MIT Open Courseware Один из самых надежных способов изучить основы в области безопасности – пройти курс колледжа MIT. Учебный план охватывает: ▪️ моделирование угроз ▪️ эксплойты ▪️ сетевую безопасность ▪️ аутентификацию ▪️ мобильную безопасность ▪️ экономику безопасности и т. д. Аналогичные курсы по безопасности есть в Harvard edX, Stanford Online и Coursera. SANS Институт SANS чем-то схож с OWASP. На сайте есть бесплатные ресурсы для разработчиков и платные учебные курсы, включая программу, направленную на повышение квалификации разработчиков. My experience with developer security training Статья Роберта Оже расскажет вам о том, как отличить плохое обучение от хорошего и как построить такой план обучения, который будет удобен разработчикам. Дополнительные ресурсы Если вы ищете активные сообщества экспертов по безопасности, посетите подраздел NetSec. Там можно получить ответы на вопросы в области информационной безопасности. Если вы только начали разбираться, лучше всего подойдет подраздел NetSec students. Оригинал 🔵 Эпсилон // @epsilon_h

🔑 Защитное программирование Defensive Programming Защитное программирование – методика разработки ПО, предотвращающая случайное внедрение уязвимостей и обеспечивающая устойчивость к воздействию вредоносных программ и несанкционированному доступу. Эта статья рассматривает историю этого термина и анализирует проблемы защитного программирования. The Defensive Coding Guide Гайд по защитному программированию с примерами на C, C++, Java, Python, Shell/Bash, Go и Vala. Руководство от Red Hat также включает в себя инструкции о том, как реализовать, например, аутентификацию и авторизацию. The Secure Coding Guide Apple ориентирует этот ресурс на разработчиков iOS и mac OS. Тем не менее, здесь собрано довольно много универсальных советов. Некоторые из разделов акцентируют внимание на важности безопасности, избегании общих уязвимостей и проектировании безопасного пользовательского интерфейса. The Art of Defensive Programming Диего Мариани – инженер-программист на сайте Busuu. Он совмещает несколько старых и современных идей о защитном программировании в короткую статью с примерами из PHP. В статье также рассматриваются ключевые моменты небезопасного защитного программирования. #полезные_ссылки #компьютерная_безопасность #программирование #уязвимости #хакинг #hack #безопасность 🔵 Эпсилон // @epsilon_h

🤨В мессенджере MAX нашли механизм, который может отслеживать пользователей VPN Несколько технических специалистов опубликовали на тематических ресурсах Habr и ntc.party сообщения о необычном поведении мессенджера MAX. При анализе сетевого трафика они заметили, что приложение проверяет, активно ли VPN-соединение на устройстве пользователя, и выполняет обращения к сторонним сервисам определения IP-адреса (ipinfo.io и аналогичным ресурсам). Эти запросы позволяют узнать внешний IP пользователя, а также параметры его сети. Получив эти данные, MAX может выяснить, использует ли конкретный пользователь VPN. Кроме того, MAX пытается установить соединение с доменами различных зарубежных сервисов: Telegram, WhatsApp, Amazon Web Services, Google. Приложение выполняет короткие сетевые проверки доступности этих доменов, а затем передает результаты — успешность подключения, задержку и другие параметры — обратно на сервер MAX. Технические специалисты считают, что MAX собирает эти данные для анализа эффективности блокировок в Рунете и выявления способов обхода ограничений.

“Обращение к нескольких сервисам определения внешнего IP в разных локациях может быть проверкой, выходит ли пользователь в интернет «напрямую» или через VPN/прокси”, – утверждает один из авторов.

Эксперт, который провел реверс-инжиниринг APK-файла Android-версии MAX, согласен с этой версией: “Этот подход очень хорош для отлавливания и блокировки личных (приватных) VPN-серверов, у которых обычно одинаковый входной и выходной IP. Этот подход очень хорош для привязывания пользователей конкретных VPN-сервисов к конкретным людям”. В пресс-службе Max в ответ заявили, что приложение мессенджера не отправляет запросы на серверы WhatsApp и Telegram, информацию об IP-адресах использует “исключительно для обеспечения корректной работы звонков”, а запросы в Apple и Google направляет для проверки доставки push-уведомлений пользователям. 🔵 Эпсилон // @epsilon_h