SQLi будет жить, пока безопасность на стадии разработки не станет нормой

SQLi будет жить, пока безопасность на стадии разработки не станет нормой

SQLi будет жить, пока безопасность на стадии разработки не станет нормой

Возможность внедрения SQL-кода (SQL injection, SQLi) была впервые признана уязвимостью более 20 лет назад, однако она до сих пор зачастую всплывает в веб-приложениях. Матиас Маду (Matias Madou), технический директор и соучредитель компании Secure Code Warrior, уверен, что этот тривиальный баг будет и впредь составлять угрозу для пользователей, пока разработчики не научатся привносить безопасность в программные коды.

Баг SQLi, по мнению эксперта, легко устранить. Учитывая почтенный возраст проблемы, она должна присутствовать только в унаследованном софте и непропатченных системах. Тем не менее, создатели веб-приложений повторяют эту ошибку вновь и вновь.

Атака внедрением SQL-кода не требует специальных знаний и навыков, а последствия могут быть весьма неприятными — SQLi до сих пор занимает первое место в рейтинге рисков OWASP Top 10. Так, в минувшем августе поставщик графического контента Freepik сообщил о компрометации учетных данных 8,3 млн пользователей в результате SQLi-атаки. За три месяца до этого в США был открыт процесс по делу украинца Виталия Антоненко, которого обвинили в краже сотен тысяч номеров кредитных карт и персональных данных посредством массовых взломов через SQLi.

К сожалению, многие дипломированные программисты, по словам Маду, имеют слабое представление о защитном кодировании. Для проведения специальных тренингов у бизнес-структур не хватает квалифицированных кадров и возможностей, а подчас и желания. Новые языки программирования вроде Rust помогают избавиться от некоторых типовых багов, однако использование устаревших систем и библиотек сводит на нет все усилия по обеспечению безопасности корпоративной инфраструктуры.

Эксперт призывает интернет-сообщество повысить культуру создания программных продуктов, стимулировать разработчиков к освоению приемов безопасного программирования и не жалеть времени на подготовку качественных, защищенных кодов.

Детские сим-карты в России хотят ставить на стоп при нулевом балансе

Минцифры предложило новые правила для детских сим-карт: если на счету закончились деньги, оператор должен будет автоматически отключать платные услуги связи. Документ опубликован на портале проектов нормативных правовых актов.

Речь идёт о номерах, оформленных на несовершеннолетних, а также о сим-картах, которые родители передали детям.

Ограничение касается авансовой системы расчётов, когда сначала пополняешь баланс, а потом пользуешься связью. При нуле на счету должны приостанавливаться звонки, СМС, мобильный интернет и дополнительные платные услуги.

В Минцифры поясняют: экстренная связь никуда не денется. Вызов 112 и других служб останется доступен круглосуточно и бесплатно. Входящие и другие бесплатные услуги также сохранятся. Главная идея — не дать ребёнку уйти в минус или случайно накупить услуг без ведома родителей.

Но автоблокировка — только часть пакета. Для детских номеров также хотят полностью запретить входящие звонки из-за границы, отключить роуминг за пределами России, убрать массовые рассылки, включая рекламу и часть банковских сообщений, и бесплатно фильтровать контент, который может навредить ребёнку.

Чтобы ограничения заработали, родителю нужно будет сообщить оператору, что номер передан несовершеннолетнему, и указать возраст ребёнка. Сделать это можно в салоне связи, через личный кабинет или электронным документом с усиленной квалифицированной подписью. Если договор заключил сам несовершеннолетний, правила тоже будут применяться.

Проект затрагивает не только детские сим-карты. В правила хотят добавить запрет на быстрый отказ от номера: абонент-физлицо не сможет расторгнуть договор раньше чем через 90 дней после получения сим-карты. Это должно ударить по серым симкам, которые мошенники используют для обзвона и быстро выбрасывают.

Новые нормы могут вступить в силу 1 марта 2027 года и действовать до конца 2030-го. Затраты операторов на выполнение требований оцениваются от 300 млн до 3 млрд рублей. Контролировать всё это будет Роскомнадзор.

RSS: Новости на портале Anti-Malware.ru