S Michalem Špačkem o bezpečnosti pro vývojáře i běžné smrtelníky

Vzhůru dolů 12.12.2024 03:30 Michal je bezpečnostní expert a Head of Security v Shoptetu. Povídali jsme si o nejen o tom, co aktuálně dělá , ale zabrousili jsme hlavně do vod bezpečnosti. Na základě našich nedávných zkušeností z cestování jsme probrali vícefaktorové zabezpečení a Michalova doporučení, jak se k němu stavět. Proč je důležité hlásit bezpečnostní chyby a proč tím Michal tráví svůj volný čas? Vícefaktorové zabezpečení Používejte aplikaci na hesla, které ukládá do cloudu, abyste vše neměli na jednom zařízení a zároveň zálohované. Třeba 1password. Heslovací aplikace by zároveň měla umět generovat dočasné kódy pro 2FA. 2FA je dneska spíše zavedený pojem pro jakékoliv vícekrokové zabezpečení, i když je to nepřesné. Druhý faktor v původním smyslu znamená potvrzování např. na jiném zařízení. Proč a jak hlásit bezpečnostní chybu? Michal to považuje za dobrý vývojářský i bezpečnostní výcvik. Zároveň tím zamezuje, že na chybu přijde někdo, kdo ji zneužije. Chyby se mu už dneska prý chodí ukazovat samy. Když už něco najdete, nepište to nikam veřejně, nevysmívejte se, data nestahujte, nezneužívejte. Pokuste se kontaktovat autory, i když to bývá náročné, např. hledáním přes kamarády, přes LinkedIn a tak dále… Autorům webů Michal doporučuje mít soubor security.txt s kontakty na důležité osoby. Podcast Celá epizoda na videu Host: Michal Špaček Michal je bezpečnostní expert a Head of Security v Shoptetu. Jistě jej znáte díky jeho početným přednáškám a článkům o bezpečnosti. Píše o sobě také, že je „občasný lovec chyb“, který se může pochlubit úlovky v lesích Googlu, Atlassianu, T-Mobile a mnohých dalších. Dříve pracoval například pro Report URI, Slevomat nebo Skype. Žije na Šumavě. michalspacek.cz – X – LinkedIn Obsah po minutách Robinův první tip:State of HTML a Robinův druhý tip: Technology Connections Martinův tip: Speed Brain od Cloudflare Představení Michala Špačka Špinění konzultantský rukou od práce Co Michal dělá v Shoptetu, zavádění 1password atd. Jak na dvoufaktorovou autentizaci Hory, na kterých chceme umřít: FTP vs. SFTP, CSS vs. CCS Optimalizace stránek pro vkládání ze správců hesel Atribut passwordrules Hlášení bezpečnostních chyb K čemu je /.well-known/change-password Trolení pomocí phpinfo.php Jak je to s odměnami za hlášení chyb Odebírejte podcast ze Vzhůru dolů Spotify – Apple Podcasts – TuneIn – RSS podcastů Nápad? Chyba? Připomínka? Pochvala? Pište nám na e-mail podcast@vzhurudolu.cz nebo kamkoliv jinam. Hlavně, aby se to k nám dostalo. Přejeme vám příjemný poslech!