Spring Security: работа с JWT токенами
Всем привет! Данная статья посвящена регистрации и аутентификации с помощью JWT что помогает нам избавиться от тяжёлых сессий и куки и быть более крут…
Latest News
⚑ Report a ProblemTech news from the best sources
All topics
- Искусственный интеллект, машинное обучение, нейросети
- Новости сети
- автомобили, мотоциклы, транспортные средства
- вирусы, трояны, уязвимости в ПО, вопросы безопасности
- игры
- космос
- мобильные телефоны, смартфоны, сотовая связь, коммуникаторы, КПК
- модули ОЗУ, карты памяти, флеш-накопители, кардридеры
- процессоры
LLM
ai
ai-агенты
claude
llm
open source
postgresql
python
ruvds_статьи
Статьи
автоматизация
ии
ии-агенты
информационная безопасность
искусственный интеллект
машинное обучение
нейросети
программирование
разработка
тестирование
управление проектами
Жизненный цикл API-токенов: От генерации до компрометации
JWT не защищает от кражи. Подпись гарантирует, что токен не подделан, но не мешает злоумышленнику использовать его, если тот оказался в чужих руках. В…
Spring Security: аутентификация через REST
В данной статье мы научились реализовывать аутентификацию при помощи Spring Security и протестировали её же. Читать далее
Security Week 2628: опасные уязвимости в библиотеке FatFs
1 июля компания runZero сообщила об обнаружении семи уязвимостей в библиотеке FatFs . Это свободно распространяемое ПО, предназначенное для использова…
Самый недооцененный механизм безопасности SSH или почему known_hosts — это не кэш
Каждый, кто работает с SSH, наизусть знает ритуал первого подключения (TOFU) и страшный ворнинг о смене ключей хоста. Но почему в 99% случаев мы прост…
Ваш API-ключ утечёт. Как сделать так, чтобы это ничего не стоило
По данным GitGuardian ( State of Secrets Sprawl ), только за 2024 год в публичный GitHub утекло около 23,7 млн секретов — ключей API, токенов, паролей…
Зачем переводить сухой регламент в работающие настройки — харденинг Linux
Большинство документов по защите информации читаются как перевод с иностранного языка. Красивые слова, логичная структура, ни одного конкретного шага.…
Spring Secutiry: начало работы и первые шаги на практике
В данной статье поигрались с базовыми возможностями Spring Secrity и узнали фундамент на котором строится вся остальная безопасность приложения Читать…
Основы Spring security
В данной статье я подробно и простыми словами описал, как работает Spring Security, что он делает, как и за счёт чего он обеспечивает безопасность при…
Как не нарваться на prompt-injection или зачем нам проверять скиллы?
В прошлой статье говорили про использования LLM хакерами, и обещал как раз продолжение, как защищить свое рабочее пространство, ну в общем, к делу :) …
Делаем отказоустойчивое файловое хранилище поверх JPEG-файлов
Что, если хранить зашифрованный контейнер не в одном файле, а распределять между несколькими JPEG-изображениями? Причём так, чтобы потеря части изобра…
После прочтения сжечь. Как устроен zero-knowledge сервис, где сервер не видит ключ
Привет! Задача возникла банальная: нужно передать коллеге пароль, API-ключ или конфиг. Телега — не хочется, почта — тем более. Существующие решения от…
Правильный RBAC
Спросите любого инженера, как разграничить доступ в приложении, — услышите RBAC : роли и права. Но RBAC — это концепция , а не рецепт. Совет «заведите…
Как xtunnel может создать дыру в приложении
Xtunnel xtunnel - российский туннель, который позиционирует себя аналогом ушедшего из России ngrok. Сегодня, работая над учебным проектом, я заметил з…
[Перевод] Loop Engineering: 14 шагов от промптера до архитектора систем
Два года работа c AI-агентами для написания кода выглядели одинаково: написать промпт, передать контекст, прочитать дифф, написать следующий промпт. А…
[Перевод] HTML Sanitizer API: конец эпохи DOMPurify и XSS-страданий
Инженеры узнают о межсайтовом скриптинге (Cross-Site Scripting, XSS) тремя способами. Счастливчики узнают о нем благодаря полезному анализу кода или п…
Ошибки триажа алертов: почему ваш SOC пропустит реальную атаку прямо сейчас?
В SOC реальная атака редко приходит с табличкой «срочно расследовать»: чаще она маскируется под очередное ложное срабатывание, которое уже сотни раз з…
Точно ли агенты безопасны?
Буквально недавно я писал статью по мотивам материала Anthropic - того самого, где опять говорили " джуны больше не нужны ". Ребята учитывают одни дет…
Не давайте ИИ-агенту прямой доступ к базе. Как я проектировал безопасный контур действий на FastAPI и PostgreSQL
Последнее время я всё чаще встречаю одну и ту же мысль: бизнес никогда не даст ИИ‑агенту доступ к базе клиентов, заявкам, платежам, CRM…
LLM Sandbox: изолированная среда для исполнения кода от LLM [часть 1, теория]
В большинстве бизнес-сценариев LLM перестала быть просто чат-ботом. Современные модели становятся частью агентских систем: у них есть инструменты, дос…
Доверенная загрузка без доверия: уязвимость в SoC Ky X1
Так уж повелось, что в Positive Labs исследованиями одноплатных платформ чаще всего занимаюсь я. Задачи при этом бывают разными: где-то нужно включить…
Защита от фишинга: Passkey, WebAuthn/FIDO2 и беспарольный вход в компании
Когда пользователи используют отпечаток пальца или вход по faceid, это часто воспринимается как «моя биометрия отправляется в сервис». На практике все…
AI Governance и контроль корпоративных AI-агентов: безопасные подходы для бизнеса в 2026 году
В 2026 году искусственный интеллект стал неотъемлемой частью бизнес-процессов: от автоматизации клиентских операций до внутреннего мониторинга данных.…
Через 5 лет каждая компания будет управлять AI так же, как сегодня управляет сотрудниками
Еще несколько лет назад искусственный интеллект воспринимался как экзотический инструмент для крупных корпораций, исследовательских лабораторий и энту…
Архитектура безопасности во frontend-приложениях: Server Actions и защита данных в эпоху Next.js
Мир frontend-разработки за последние несколько лет изменился коренным образом. Если еще пять лет назад стандартом де-факто были одностраничные приложе…
Kubernetes-аудит после Wiz и Prisma: как живут без CNAPP в 2026
В 2022–2024 западные CNAPP-платформы — Wiz, Prisma Cloud, Lacework — закрыли доступ для российских компаний. Сбер и Яндекс собрали свой стек на коленк…
[Перевод] Соль и перец в безопасности паролей
Безопасность данных сегодня стала главным приоритетом для любого веб-ресурса. Базовым стандартом защиты учетных записей является хеширование паролей. …
Важные изменения в защите информации в России: что нового?
В апреле 2026 года ФСТЭК России выпустил долгожданный методический документ "Состав и содержание мероприятий и мер по защите информации, содержащейся …
Agent Gateway в Google Cloud: внешний контур управления AI-агентами, которого не хватало enterprise
Не так давно AI-агент для разработки кода (Cursor на базе модели Anthropic Claude Opus 4.6) получил задачу и выполнил её буквально. Слишком буквально.…
Включаем EPA в FreeTDS и go-mssqldb: приключение на 5 минут
Представьте: вы теряете контроль над SCCM — одним из самых критичных инструментов управления инфраструктурой. А точкой входа становится обычное подклю…