Безопасность → Начните думать!

Меня всегда забавлял фанатичный подход к безопасности веб-приложения. Нет, я ничего не имею против этого. Но подходить к вопросу необходимо с холодным рассудком и грамотно организовывать безопасность по всем фронтам.

Некоторые же занимаются защитой ради защиты. В WordPress они переносят админку в папку DFjkKSnx38, затем ставят блокировку по IP-адресу. После чего упорно продолжают защищать вход в администраторский аккаунт, разрешая только 4 ошибки при вводе пароле за 20 минут, блокируя IP-адрес в ином случае. Они устанавливают SSL и используют только HTTPS. Затем ставят captch`у и вход через openID, сервер которого находится в контейнере корабля посреди тихого океана.

Понимаете о чем я? И их все равно взламывают с тем же успехом. Просто потому что они не учитывают одной важной детали.

Представим, что они идеально защитили свой WordPress-блог. Представили? И на следующий день его легко взламывают!

Вопрос: Как это могло произойти?

Читать далее »