👨🎓Открытая лекция: Основы информационной безопасности для мобильных разработчиков

Лекция прочитана в рамках "Робопрактики" для мобильных разработчиков. Содержание лекции: 1. Основные понятия из мира ИБ 2. Моделирование злоумышленников и угроз 3. Основы криптографии (симметричная, асимметричная, цифовые подписи, сертификаты, хэш-функции, KDF-функции) 4. HTTP vs HTTPS, MITM и SSL Pinning 5. Основные угрозы мобильных приложений Материалы к лекции: 👮♀️RBAC: https://en.wikipedia.org/wiki/Role-based_access_control 📜ACL: https://en.wikipedia.org/wiki/Access-control_list 😎OWASP: https://owasp.org/ 👶Threat Modeling for Beginners: https://dev.to/caffiendkitten/why-you-need-threat-modeling-3n6p 🐲OWASP Threat Dragon: https://owasp.org/www-project-threat-dragon/ 🔮Padding oracle attack: https://en.wikipedia.org/wiki/Padding_oracle_attack ⛔️XOR шифрование: https://en.wikipedia.org/wiki/XOR_cipher 📕Одноразовый блокнот: https://www.pgpru.com/biblioteka/rukovodstva/samodelkiipodruchnyesredstva/kakustroentradicionnyjjodnorazovyjjbloknot 🔨sslstrip: https://github.com/moxie0/sslstrip ⚔️sslsplit: https://github.com/droe/sslsplit 🗃Воркшоп где есть про пиннинг: https://github.com/Fi5t/workshop-devfest-2020 📃Шпаргалка по OpenSSL: https://gist.github.com/Fi5t/a9a0ff489d54e04262da95eaf3c6fe7f 📧Цифровая подпись запросов: https://xakep.ru/2020/12/15/android-signed-requests/ 🌈Радужные таблицы: https://en.wikipedia.org/wiki/Rainbow_table 🎥Как прикрутить и отломать SSL пиннинг: https://www.youtube.com/watch?v=Xn6CSqJpf6I 🎥Мобильный SSDLC: https://www.youtube.com/watch?v=EGB8mstJlyA 🎥Храни секреты правильно: https://www.youtube.com/watch?v=dvTrEcV6Ajs 🎥Хранение ключей API в нативном коде: https://www.youtube.com/watch?v=LpOvHhpcVG4 00:00 Введение 00:50 Цели и задачи лекции 01:53 План лекции 02:38 Основы информационной безопасности 04:14 Валидация 11:50 Идентификация 15:24 Аутентификация 21:37 Авторизация 25:34 Моделирование злоумышленников и угроз 25:59 Модель злоумышленника 32:14 Модель угроз 41:07 Занимательная криптография 45:30 Действующие лица 47:47 Симметричные криптосистемы 01:05:55 Асимметричные криптосистемы 01:24:26 Цифровые сертификаты 01:18:12 Хэш-функции 01:24:44 KDF-функции 01:30:44 Сетевая безопасность 01:32:19 HTTP MITM 01:32:14 HTTPS 01:36:29 HTTPS MITM 01:40:49 SSL Pinning 01:42:20 Откуда берутся сертификаты 01:44:07 Нетривиальные практики сетевого инфобеза 01:46:12 Безопасность мобильных приложений 01:46:41 Данные пользователя 01:48:30 Соединение 01:52:46 Отладочные данные 01:55:31 Окружение 01:58:45 Итоги 02:02:05 Литература