Paweł Goleń, blog

W odpowiedzi na jeden z komentarzy Pawła Krawczyka odpisałem:

(...) Można też z góry wykluczyć pewne grupy podatności jako nieistotne w przypadku danej aplikacji. Przykładowo: "podatność" wyszukiwarki Google na CSRF. (...)

Dziś krótko o tym, dlaczego nie miałem racji, czyli dlaczego podatność wyszukiwarki na CSRF mogłaby być istotna.

To jest zawrotna prędkość średnia, jaką udało mi się osiągnąć na trasie w rodzinne strony. Jak spadnie poniżej 30, przesiadam się na hulajnogę...

Nie bardzo rozumiem całego szumu wokół URLzone. Nie robi on niczego nieoczekiwanego. Owszem, jest sprytny, ale nie odkrywczy. Malware na komputerze może stworzyć użytkownikowi dowolną iluzję rzeczywistości, która ograniczona jest jedynie inwencją twórców. Z tego powodu w systemach bankowości internetowej ważna jest nie tylko autoryzacja transakcji, ale również skuteczne poinformowanie użytkownika o parametrach autoryzowanej właśnie transakcji. Jak ostatnio pisałem, warunek ten obecnie spełnia autoryzacja transakcji przy pomocy kodów SMS. Oczywiście wraz z kodem autoryzacyjnym w SMS muszą być przesłane również parametry transakcji, jaka będzie realizowana. W interesie użytkownika natomiast leży ich sprawdzenie.

Druga odsłona przemyśleń dotyczących pracy (pen)testera.

Tak, to pierwszy odcinek zapowiadanej serii wpisów. I dotyczy on często powracającego pytania o to, co jest lepsze. Człowiek czy automat?