77
votos
Aceito
Como funciona o algoritmo de criptografia AES?
O AES é uma primitiva criptográfica destinada a compor sistemas de cifragem e decifragem simétrica (i.e. mesma chave para cifrar e decifrar). É uma cifra de bloco, ou seja, opera em blocos de tamanho ...
- 82,3mil
57
votos
Aceito
O que é e para que serve JWT?
O JWT, na informática, pode se referir a:
Serviço de "pedidos" assinados digitalmente o JSON Web Token
Framework Java chamado Java web toolkit
JWT autenticação
JWT (JSON Web Token), com o T em ...
- 100mil
54
votos
Aceito
Sistemas devem forçar o usuário a criar uma senha forte?
Os bancos se dão ao luxo de permitir que você use senhas fracas por dois motivos:
Eles podem bloquear sua senha impunemente sem perder você como usuário.
Não que isso seja ruim. Afinal, é o seu ...
- 23,6mil
51
votos
Aceito
Qual a diferença entre codificação, criptografia e cálculo hash?
Encoding:
O propósito do Encoding é garantir que os dados possam ser consumidos por tipos de sistema diferentes, ex: enviar dados em binário por email ou conseguir fazer o encode de caracteres ...
- 29,3mil
50
votos
Aceito
Quais são os riscos de usar permissão 777?
Ao dar permissões 777 para um arquivo você faz com que todos os usuários possam ler, escrever e executar o mesmo.
Isso significa que qualquer vulnerabilidade do seu sistema permite que um invasor faça ...
- 21,1mil
44
votos
Aceito
O endereço IP pode ser forjado?
Infelizmente existem técnicas de spoof uma delas chamada de IPSpoofing que são utilizadas para falsificar endereços IPs, é possível literalmente entrar no meio da comunicação entre cliente e ...
- 6.556
44
votos
Aceito
Estou sofrendo ataques do tipo SQL Injection
Depois de ter sido atacado ele pode ter colhido informações importantes que permitem que ele faça a invasão por outros meios. Quando você tem um servidor invadido não é simples torná-lo seguro ...
- 470mil
41
votos
Quais são os riscos de usar permissão 777?
TL;DR;
Dar permissão 777 é o mesmo que :
"Confiar em todo mundo, independente de quem seja".
"Permitir que qualquer um faça o que quiser".
Você "confia" que ninguém, absolutamente ninguém, vai ...
- 15,4mil
38
votos
Como fazer hash de senhas de forma segura?
Use Salt.
Isto é, uma sequência alfanumérica que só seu sistema conhece e que você adiciona às senhas antes de fazer o hash. Só isso acaba com a maioria dos ataques.
Com Salt usado corretamente até ...
- 584
38
votos
Aceito
O que é o PHP Injection? Qual a diferença dele para o SQL Injection? E como evitá-lo?
Devido a inúmeros comentários publicados (na época que a pergunta foi feita por mim), creio que há alguma dúvida quanto ao PHP Injection.
Então vou explicar alguns pontos.
O que é PHP Injection?
É uma ...
- 106mil
37
votos
Como fazer hash de senhas de forma segura?
A grosso modo eu (particularmente) crio um "salt" para concatenar com o hash, uma especie de "tempero", por exemplo;
$senhaDoUSuario = 'minhaSenhaFraca';
$salt = '...
- 6.221
33
votos
Aceito
Como os antivírus analisam meu programa?
(...)meu professor estava falando das diferenças das linguagens interpretadas e das linguagens compiladas e destacou que as linguagens interpretadas poderiam ter seu código roubado, quando nas ...
- 23,6mil
30
votos
Aceito
O que é preciso fazer para medir força de senha?
Para determinar qual a força de uma senha, é preciso analisar como os atacantes procedem ao tentar quebrar um senha. Este excelente artigo do Bruce Schneier (em inglês) descreve o estado da arte em ...
- 82,3mil
30
votos
Aceito
O que é o AntiForgeryToken?
É um método que gera e insere no HTML gerado na view um código para evitar que se falsifique o envio de dados para o servidor.
Quando se usa este método ele insere algo assim:
<input name="...
- 470mil
28
votos
Aceito
O que é Null Byte Injection? Como evitá-lo?
É o envio de um byte nulo (0) como um texto que mais tarde será usando em alguma parte da aplicação que provavelmente dará acesso a algum recurso que não deveria ser acessado.
Como é comum strings ...
- 470mil
27
votos
Aceito
Por que consultas SQL parametrizadas(nome = ?) previnem SQL Injection?
Me parece que você está se referindo a prepared statements.
O que acontece é que ao informar uma consulta com parâmetro para a biblioteca de conexão com o banco de dados, ela trata o valor recebido ...
- 5.699
26
votos
Aceito
Devo mostrar mensagens de erro genéricas como, senha ou usuário errado, ou mensagens específicas?
Acredito que as respostas são boas, mas a resposta do @Stormwind sobre "uma mensagem de erro genérica" me deixou um pouco intrigado.
Hoje em sistemas como o Google e a Microsoft é diferente do ...
- 21,6mil
23
votos
Aceito
Dados recebidos de HTTPS vem encriptado?
O SSL/TLS é uma camada de criptografia a nível de transporte. Isso significa que:
Sim, os dados chegam encriptados; somente o browser do usuário e o seu servidor têm acesso a eles, ninguém no meio do ...
- 82,3mil
22
votos
Como os antivírus analisam meu programa?
Eu resolvi responder porque parece ainda ter ficado dúvidas em relação a resposta do Renan.
Que fique claro que os antivírus não precisam e não se preocupam com o código fonte da aplicação.
Existem ...
- 470mil
21
votos
Aceito
O que significa "sanitizar" dados?
Eliminar trechos de texto em uma entrada de dados que tenham características de metadados, e que por isso podem causar algum problema de segurança.
Por exemplo: em HTML os caracteres < > & ...
- 470mil
21
votos
Aceito
O que é o HMAC?
HMAC é uma sigla para Hash-based Message Authentication Code
O que seria um HMAC?
Um HMAC é um tipo de MAC (código de autenticação de mensagem). Um MAC é um código que você pode adicionar ao final ...
- 8.952
20
votos
Aceito
Usar o addslashes contra injeção de SQL é seguro?
Há chances de deixar o sistema vulnerável.
Esse artigo, addslashes() Versus mysql_real_escape_string() cita um bom motivo para isso.
Em tradução livre:
Se eu quero tentar um ataque de injeção SQL ...
- 30,8mil
20
votos
Aceito
Permitir ou não permitir espaços das extremidades em senhas?
Devolvo a pergunta: que problema vê em considerar espaço em branco?
Eu não vejo problemas técnicos. Talvez de UX. Mas aí é relativo, depende do público.
O espaço é um caractere como outro qualquer, ...
- 470mil
19
votos
Aceito
Quais são os benefícios de se usar HTTPS?
Em quê o SSL torna mais seguro um site?
Criptografia. No HTTP normal, os dados são enviados em plaintext dentro dos pacotes de rede e alguém que estiver usando um sniffer, que é um programa que ...
- 64,5mil
19
votos
Aceito
O que é o buffer overflow?
Se usou uma vez, viu o aviso e continuou usando, está cometendo um erro.
Buffer overflow
A função gets() recebe uma variável que funciona como um buffer. Ou seja, uma variável é criada e passada para ...
- 470mil
18
votos
Aceito
Como se chama a técnica de esconder componentes para assegurar informações?
O termo original é Security through obscurity ou segurança por obscurantismo, em português.
Ao contrário do que pregam alguns é uma técnica bastante eficaz. É algo extremante usado dentro e fora da ...
- 470mil
18
votos
Como fazer hash de senhas de forma segura?
Funções de hash boas para senhas
PBKDF2
O PBKDF2 vem da PKCS#5. É parametrizado com contador de iterações que iniciando por 1 e não tem limite superior, um salt arbitrário sem restrição de tamanho, ...
- 181
18
votos
Aceito
Existem linguagens mais seguras que outras?
Linguagens de programação não são inerentemente seguras ou inseguras, elas são um meio de expressão. Quem tem que fazer algo seguro é o programador.
Algumas evitam certos tipos de problemas que causam ...
- 470mil
18
votos
Aceito
O que é e como funciona o blockchain?
O que é blockchain e como ele funciona?
O conceito básico de blockchain é bastante simples: um banco de dados distribuído que mantém uma lista de registros ordenados em uma sequência crescente.
Este ...
- 3.970
17
votos
Como fazer hash de senhas de forma segura?
Se possível utilize o Argon2, ele foi o vencedor do PHC, possui mais opções de ajustes, se comparado ao PBKDF e ao BCrypt.
Ele você pode ajustar:
Iterações: custo de tempo, mais operações serão ...
- 21,6mil
Only top scored, non community-wiki answers of a minimum length are eligible
Tags relacionadas
segurança × 399php × 122
criptografia × 45
c# × 27
javascript × 24
mysql × 24
java × 21
banco-de-dados × 19
.net × 19
senhas × 19
ssl × 18
html × 17
aplicação-web × 14
autenticação × 14
hash × 14
python × 13
sql × 13
c × 13
apache × 12
http × 12
android × 11
cookies × 11
asp.net × 10
string × 9
sql-injection × 9