my talks
1.0.0
Una lista de mis conversaciones sobre ingeniería de seguridad, criptografía aplicada, usabilidad de seguridad. Twitter, medio.
Tengo una amplia experiencia en ingeniería de software, ahora trabajo en productos y soluciones en la compañía de soluciones criptográficas Cossack Labs. Brindamos a los desarrolladores herramientas para la protección de datos confidenciales en aplicaciones e infraestructuras, que van desde servicios SaaS y aplicaciones móviles hasta operadores críticos de infraestructura / red eléctrica y redes SCADA.
Además de las soluciones, proporcionamos consultoría de seguridad de aplicaciones de asesoramiento y en profundidad, ayudando a desarrollos en varias etapas de desarrollo con revisión de seguridad y asesoramiento de mejora. También yo y mi equipo realizamos capacitación segura para el desarrollo de software para desarrolladores, arquitectos y gerentes de productos senior.
¡Disfrutar!
(¿Alguna vez el mundo será el mismo?)
En 2021 me estoy centrando en lavarse las manos Temas de seguridad defensivos que son interesantes para clientes potenciales tecnológicos, CTO, arquitectos de soluciones. Diseño e ingeniería de seguridad, cifrado de extremo a extremo para aplicaciones distribuidas.
Envíeme un correo electrónico si desea invitarme a hablar en su conferencia :)
| video |
|---|
Estamos hablando sobre la seguridad de las aplicaciones móviles, introduce seguridad.
#trackhost
Verifique las charlas y el programa: los temas incluyen OSINT, sesgo de seguridad, seguridad en un momento de inseguridad.
#trackhost
Consulte las charlas de YouTube: los temas incluyen criptografía PQ, ingeniería de seguridad, escalada de privilegios, piratería IoT, ciberseguridad en todo el país, entrevista con Bruce Schneier.
| video |
|---|
Estamos hablando de criptografía y responde preguntas:
Presentado en:
#Security #Crypto
| video |
|---|
Hablaremos sobre "Crypto aburrido": por qué los desarrolladores no deberían pasar tiempo aprendiendo todos los detalles de los algoritmos criptográficos (o inventar otros nuevos). Cómo evitar los criptográficos típicos cuando todo lo que necesita es proteger los datos en reposo o en movimiento. Hay suficientes bibliotecas y herramientas criptográficas listas para usar para todos.
Presentado en:
Consulte: los temas incluyen la gestión de riesgos de seguridad, el equilibrio de seguridad y rendimiento, SSDLC, DevSecops y criptografía posterior al quatum.
#trackhost
Consulte: los temas incluyen arquitectura de seguridad, ingeniería de seguridad, criptografía, seguridad organizacional.
#Security #Software-Architecture #Cryptography
| toboganes | video |
|---|
Esta charla es útil para las personas que creen que la Crypto Lib perfecta es una C libs con readme de 1 página :)
Mantener la biblioteca criptográfica multiplataforma es un viaje lleno de errores inesperados, hacks específicos del lenguaje, decisiones difíciles y una lucha interminable para hacer que las API de desarrolladores sean fáciles de usar y difíciles de hacer.
¿Cómo simplificar los conceptos de cifrado complejos en funciones simples "CIRRYPT (MSG, KEY)" y "Decrypt (Data, Key)"? ¿Cómo proporcionar una API unificada para 11 idiomas, cuando algunos de ellos están fuertemente tipo y otro es JavaScript? Seguro de forma predeterminada: qué opciones de diseño se deben hacer para proteger del mal uso. Múltiple Platformidad: ¿Cómo asegurarse de que ese mensaje encriptado usando Ruby en X64 Ubuntu 18.04 se descifrará [con éxito] en iOS12 en iPhone ARMV7S? Prueba de salvaje: analizadores estáticos, fuzzing, pruebas unitarias, pruebas de integración. Docs: los desarrolladores copian la pasta de ReadMe de todos modos, cómo asegurarse de que copien las cosas correctas.
Describiré la experiencia de 4 años para mantener la biblioteca de código abierto multiplataforma IMIS: desde el diseño de la API hasta los piratas informáticos específicos del lenguaje.
Presentado en:
Capacitación pública sobre ingeniería de seguridad e criptografía, realizada conjuntamente con Jean-Philippe Aumasson en Lausana, Suiza, el 4 de noviembre. Capacitación dirigida a ingenieros de software y arquitectos de soluciones que trabajan en aplicaciones distribuidas y características relacionadas con la seguridad.
Detalles sobre el contenido.
¿Interesado en realizar una capacitación similar para su equipo? Envíeme un correo electrónico.
#Mobile #iosdev #Encryption #E2EE #Bear
| toboganes | blog | Video (Ru) | Video (Eng) |
|---|
El caso real sobre una gran nota que toma la aplicación, que decidió implementar el cifrado de notas conveniente y el bloqueo de notas para su base de usuarios existente. Pero encontrar un equilibrio entre las restricciones de usabilidad, seguridad y plataformas móviles es complicado.
Comenzaremos con el esquema de diseño de seguridad, luego seleccionaremos la biblioteca de cifrado adecuada, luego implementaremos el flujo y prepararemos para incidentes. Ahora, piénselo, la criptografía es solo el Capítulo 3 en OWASP MASVS (8 capítulos en general). Incluso la mejor criptografía fallará si los controles de seguridad básicos se implementan mal.
Puntos por los que pasaremos: la diferencia entre "bloqueo" y "encriptación", la diferencia entre la contraseña y la clave de cifrado, cómo sincronizar las contraseñas entre los dispositivos, ¿qué exactamente almacenar en el llavero/almacén de claves, cómo usar la criptografía adecuada (AES CBC o AES GCM, Salt Random? IV? Si los usuarios cambian sus huellas digitales, ¿deberíamos invalidar todas las contraseñas?), Actualizar la versión de cifrado (imagine, se descubre la vulnerabilidad en nuestra biblioteca o aplicación, cómo actualizar el cifrado y migrar de manera suave a los usuarios al nuevo cifrado, si los usuarios ni siquiera tienen una pista de que el cifrado se verificó).
Al final, este es solo un boleto Jira simple "Cifbamos las notas" de los ojos del ingeniero de software de seguridad :)
Presentado en:
Francés
París, Francia, 7-8 de octubre de 2019
Rsconf
Minsk, Bielorrusia, 9-11 de agosto de 2019
Conferencia de cocoaheads Kyiv
Kyiv, Ucrania, 28 de julio de 2019
#Mobile #iosdev #Encryption #privacy
| toboganes | Video próximamente | blog | entrevista |
|---|
Apple hizo muchos anuncios en WWDC 2019 sobre criptografía, ciberseguridad y privacidad. Anastasiia destacó cambios importantes para los desarrolladores, incluido el nuevo marco de Cryptokit, las regulaciones de privacidad de datos, los nuevos permisos de aplicaciones.
Presentado en:
#Security #Software-Architecture #App-SEC
| toboganes | Video (EN) | Video (Ru) | blog |
|---|
No sorprende que cualquier micro-servicio, cualquier control de seguridad que use para crear aplicaciones, eventualmente se rompa (o falla). Bajo cierta presión, algunos componentes fallarán juntos.
La pregunta es: ¿cómo construimos nuestros sistemas de una manera que los incidentes de seguridad no sucederán incluso si algunos componentes fallan? Y las filtraciones de datos no ocurrirán incluso si los ataques son exitosos.
"Defensa en profundidad" es un patrón de ingeniería de seguridad, que sugiere construir un conjunto independiente de controles de seguridad destinados a mitigar más riesgos incluso si el atacante cruza el perímetro exterior. Durante la charla, modelaremos amenazas y riesgos para la aplicación distribuida moderna y la mejoraremos construyendo múltiples líneas de defensa. Descripción general de los patrones de alto nivel y las herramientas exactas del mundo de la ingeniería de seguridad y los explicaremos a los desarrolladores web modernos;)
Presentado en:
Guarnición
San Francisco, EE. UU., 17-19 de junio de 2019
mucón
Londres, Reino Unido, 29-31 de mayo de 2019
Infoshare
Gdansk, Polonia, 8-9 de mayo de 2019
Jsfest kyiv
Kyiv, Ucrania, 5-6 de abril de 2019
| Diapositivas (ukr) |
|---|
Estuve coorganizando y hablando en el evento CyberKids durante la Conferencia de Seguridad Cibernética que no es Amecon en Kiev, Ucrania, 14-17 de mayo. Los niños aprendieron conceptos básicos sobre el cifrado e hicieron ejercicios simples de descifrado de cifrado.
Lea sobre mi publicación de LN y sitio no amecon.
Presentado en:
#gestión clave #Workshop #Mobile #cryptography
| toboganes | repositorio de Github |
|---|
OWASP SSDLC, Cómo seleccionar la biblioteca de cifrado, cuáles son los errores comunes en la implementación del cifrado en torno a los datos. Técnicas de administración de claves (almacenamiento de contraseñas de usuario, almacenamiento de claves API).
La lista de cosas por tareas accionables de cosas que quiera mejorar en sus aplicaciones, profundice su comprensión del panorama de la ciberseguridad, un conjunto de recursos para leer/bucear al lado de hacer que sus aplicaciones sean aún más seguras.
Taller en:
Ensayo para la revista De Programmatica Ipsum sobre el desarrollo de software seguro y la brecha de mentalidad entre el mundo de los fabricantes de productos y el mundo de las personas de seguridad.
#Security #Software-Architecture #
| toboganes | video |
|---|
Veremos profundamente el ciclo de vida de los datos, el riesgo, la confianza y cómo afectan la arquitectura de seguridad, el cifrado y las técnicas de gestión clave. Ilustraremos los patrones SDL típicos: reducción de la confianza, monitoreo de intrusiones, cero arquitecturas de conocimiento, distribución de confianza. El objetivo de la charla es proporcionar un marco de pensamiento general y suficientes ideas sobre herramientas para que los ingenieros superiores planeen sus soluciones de forma segura, con respecto a los datos confidenciales contenidos.
Plan:
? Las aplicaciones modernas son múltiples componentes, la mayoría de las filtraciones de datos son causadas por malas decisiones arquitectónicas,
? ¿Qué es el ciclo de vida de datos confidenciales?
? Cómo crear modelo de confianza para su aplicación,
? ¿Cuáles son los patrones de confianza típicos?
? Cómo seleccionar controles de seguridad adecuados basados en riesgos del mundo real.
Presentado en:
Devexperience 19
IASI, Rumania, 19 de abril de 2019
Javazone 18
Oslo, Noruega, 12-13 de septiembre de 2018
#Security #USability #Basic-SANity #Ingeniería de productos
| toboganes | No hay video todavía |
|---|
Esta es una historia de pasar por los desafíos de seguridad típicos: cómo construir productos que entreguen de manera confiable las garantías de seguridad, eviten las trampas típicas y sean utilizables de manera predecible por parte de usuarios reales. Es una historia de equilibrar la adherencia religiosa a las prácticas de seguridad para tener en cuenta las necesidades de los clientes en todo momento dentro del equipo de desarrollo; escuchar a los clientes y observar el comportamiento real afuera en la naturaleza; Y tratando de tomar las mejores decisiones para capacitar a los clientes con herramientas fáciles para cifrar datos en sus aplicaciones de forma segura y sin dolor.
Echaremos un vistazo al proceso a través de los ojos de uno de nuestros clientes, que se equivocaron antes de hacer las cosas bien, y a través de los ojos del ingeniero de productos, responsable de aprender las lecciones para hacer que los productos de seguridad sean aún más utilizables y confiables para los ingenieros no centrados en la seguridad.
Control de llave:
Los asistentes pasarán por varias etapas de inicio e implementación de herramientas de cifrado de bases de datos/detección de intrusos. Verán el trabajo de "detrás de escena" dentro de una empresa de ingeniería criptográfica, verán cómo los clientes son una de las personas más útiles para aprender y cómo superar la mentalidad de "le decimos qué hacer" mejora las herramientas de seguridad.
Presentado en:
#Security #Workshop #Mobile #Cryptography #Symm-cifrado #asymm-cifrado
| repositorio de Github |
|---|
Los algoritmos y protocolos de conocimiento cero aseguran que no se transfieran las claves, las contraseñas, los archivos o cualquier otro material confidencial en una forma no cifrada o reversible. No hay sentido en el tiempo cuando las claves de cifrado o los archivos no cifrados son visibles para los servidores o administradores de servicios.
Tomamos la aplicación Simple iOS (aplicación Firebase Notes) e implementamos dos esquemas de cifrado para ilustrar cuán fácil es proteger los datos incluso para aplicaciones que usan BAA.
Plan:
Taller en:
Taller especial para mujeres que codifican kyiv
Kyiv, Ucrania, 30 de agosto de 2018
El Swift Aveiro
Aveiro, Portugal, 21-22 de junio de 2018
#mobile #security #sánity básico
| toboganes | Video de Uikonf | Video de mdevtalk | Video de Cocoheads [Ru] |
|---|
Antes de profundizar en las vulnerabilidades de los protocolos: cosas que debe recordar haber diseñado el flujo de su aplicación desde un punto de vista de seguridad.
Esta charla se centrará en los encabezados de infosec: lo que necesita saber antes de cosas emocionantes como criptografía y detección de incidentes asistidos por AI-AI. Como, la elección de datos que muestra en el modo de fondo, elección de SDK de terceros, qué registros enviamos y dónde ...
Incluso cuando los desarrolladores crean aplicaciones con seguridad en la mente, protegen los secretos del usuario y no revelan datos no encriptados, los atacantes pueden encontrar formas de evitar estas medidas de seguridad explotando las debilidades arquitectónicas y vulnerabilidades discretas pero muy simples. Hablaremos sobre todos los pequeños bits y piezas son necesarios para hacer que su aplicación sea segura contra ataques simples antes de centrarse en las cosas difíciles (como la criptografía).
Presentado en:
Cocoaheads Kyiv #14
Kyiv, Ucrania, 6 de octubre de 2018
mdevtalk 18
República Checa de Praga, 24 de mayo de 2018
Uikonf 18
Berlín, Alemania, 13-16 de mayo de 2018
#Security #Crypto #Databases #NotMobile #Trust #InFrestructures #Separación de pedidos #ECHELONIZACIÓN
| toboganes | Video de QCon | Video de Security Bsides [Ru] |
|---|
Investigación técnica en profundidad sobre la criptografía en un contexto más amplio: cómo ayuda a reducir los riesgos más significativos para las superficies de ataque controladas, permite administrar el riesgo de manera eficiente y elegante, cómo las herramientas y los algoritmos se encuentran en un contexto más amplio de gestión de riesgos de toda la infraestructura asociados con los datos sensibles al manejo.
Presentado en:
QCon London 18
Londres, Reino Unido, 5-7 de marzo de 2018
Seguridad Bsides Ucrania
Kyiv, Ucrania, 21 de abril de 2018
Codemotion Milán
Milán, Italia, 29-30 de noviembre
#Security #Crypto
| toboganes | Video (Ru) |
|---|
Crypto en nuestras vidas: por qué no debes pasar tiempo aprendiendo todos los detalles de los algoritmos criptográficos. Errores típicos que comete con criptografía en sus productos. Cómo evitar los compromisos nocturnos, pero en su lugar codificar 'rápido y aburrido'.
Presentado en:
Swift y Fika
Estocolmo, Suecia, 10 de septiembre de 2018
DEVEXPERIENCE.RO
IASI, Rumania, 23 de abril de 2018
Owasp Kyiv Meetup Invierno 17
Kyiv, Ucrania, 2 de diciembre de 2017
#Security #BlockChain
| toboganes | Video (Ru) |
|---|
El trabajo del ingeniero de seguridad es elegir las soluciones apropiadas para los problemas y aplicarlos. Discutir blockchain con respecto a la criptografía es bastante aburrido: es simple, e incluso algunos supuestos en los protocolos de alto nivel no causan protestas.
Hablaré sobre el otro lado, donde blockchain parece una estrategia óptima, donde causa preguntas. Caminaremos por los modelos de riesgo y amenazas, confianza y garantías a la experiencia de usar blockchain en el proyecto real (y lo que sucedió a continuación).
Presentado en:
#securidad #mobile #zkp #zka
Diapositivas | Video de MobiConf | | Video de Baltics Devfest] (https://www.youtube.com/watch?v=o-pnvvcc5fy) ---- | --- | --- |
Con el intensificador el acceso a las amenazas, los gobiernos fisgones y la insegura internet de todo, la importancia de las arquitecturas de aplicaciones de conocimiento cero y la confianza de extremo a extremo, para las cosas más complicadas que los mensajes simples, se vuelve cada vez más obvio para los desarrolladores de aplicaciones.
Hablaremos sobre problemas del mundo real contra los que ZKA lucha, aprenderemos diseños criptográficos típicos y progreso en diferentes esferas de ZKA. Descubriremos cómo hacer que el intercambio de datos, la colaboración de usuarios en los datos en la nube con su aplicación sea probablemente segura.
Presentado en:
Devfest Baltics 17
Riga, Letonia, 17 de noviembre de 2017
Se conf 17
Kyiv, Ucrania, 27-29 de octubre de 2017
Mobiconf 17
Krakow, Polonia, 5-6 de octubre de 2017
#ux #ProductDev #Mobile #Design
| toboganes | video |
|---|
Esta es una historia de un diseñador @Anateate y un desarrollador que trabajó juntos y construyó un producto para las personas que realmente lo necesitan. Se trata de trabajar en una colaboración ajustada, realizar investigaciones de usuarios y entrevistas de usuarios, compartir consejos y trucos sobre el trabajo del equipo.
Presentado en:
#Security #Keys #Mobile #Trust
| toboganes | Video de Conmiratorios | Video artesanal |
|---|
Hablaremos de la creación de confianza. La confianza se basa en varios tokens de confianza: claves, contraseñas, secretos, propiedades biométricas, cosas que tiene y cosas que sabe. Hablaremos sobre en qué debe confiar, cómo establecer y verificar la confianza, cómo compartir con confianza entre los diferentes usuarios. Discutiremos aspectos técnicos: intercambio de claves, confianza clave, derivación de clave, confianza de canal, autenticaciones multifactor. Trataré de hacer que la audiencia comprenda cómo este enorme universo de herramientas y algoritmos sirve solo un propósito: dejar que los chicos correctos ingresen, manteniendo a los tipos equivocados fuera de nuestro castillo mágico. ¡Y las hadas deberían haber!
>>> Lea más en Medium Post <<<
Presentado en:
Móvil optimizado
Minsk, Bielorrusia, 14-15 de julio de 2017
CraftConf 17
Budapest, Hungría, 25-28 de abril de 2017
APPBuilders 17
Lausana, Suiza, 24-25 de abril de 2017
#securidad #mobile #kittens
| Sin diapositivas | Sin video |
|---|
Charla resumida para los novatos en el campo de seguridad.
Las plataformas móviles presentan nuevas amenazas y nuevas oportunidades para la seguridad del sistema. Esta presentación se ocupará de los enfoques modernos: cómo proteger los datos, que surgen relaciones confiables con el teléfono móvil, cómo afectan los diseños de seguridad tradicionales. Le diré cómo los teléfonos móviles dictan importantes relaciones de cliente cliente.
Basado en mis otras charlas.
Presentado en:
Meetup de tecnología en Cactus Hackathon
Kyiv, Ucrania, mayo de 2017
Mujeres que codifican Kyiv Meetup
Kyiv, Ucrania, marzo de 2017
#Security #Workshop #Mobile #SSL
| toboganes | Sin video | repositorio de Github |
|---|
La idea era compartir algunos conocimientos sobre hacer aplicaciones más seguras. Hablamos de:
Presentado en:
#Security #Keys #Mobile #Trust
| toboganes | Video de EatDog, 1h (Ru) | Video de MobiConf, 40m (Eng) |
|---|
Hablaremos sobre la seguridad de la construcción, que no falla cuando las claves de aplicación están expuestas; Cuando los servidores son pirateados; Seguridad que dura siempre que las teclas de cifrado (o contraseñas) del usuario son seguros. Poner secretos conocidos por el usuario es una fuente de confianza es la forma final de que una aplicación se vuelva "delgada" en relación con el modelo de seguridad, reduciendo así los riesgos y el dolor del desarrollador. Aprenderemos sobre el sistema de capas de seguridad transparentes delgadas y su aplicabilidad en los sistemas de cliente cliente.
>>> Verifique la transcripción y el video en reino (25m) <<<
Presentado en:
Mobiconf
Krakow, Polonia, 6-8 de octubre de 2016
Nsbarcelona
Barcelona, España, 21 de septiembre de 2016
Nsspain
LOGRONO, España, 14-15 de septiembre de 2016
¡Intenta! Swift
NYC, EE. UU., 1-2 de septiembre de 2016
Eatdog
Kharkov, Ucrania, 18 de agosto de 2016
#TeamManagement #desarrollo
| toboganes | Video UMT (Ru) |
|---|
Todos hablan sobre la especialización de los desarrolladores. 'Conozca su nicho'. Tenemos conferencias separadas para cada área de desarrollo ahora: móvil, nube, big data, IoT. Para construir una aplicación móvil multiplataforma moderna, debe trabajar con equipos separados de iOS y Desarr con Android, equipo de desarrollo de fondo separado, diseñadores y gerentes. ¿No parece demasiado?
Hablaré sobre otra forma de organización: equipo de desarrollo multipoleado, experiencia y beneficios.
Presentado en:
Agilepizza #49 Meetup
Kyiv, Ucrania, 26 de julio de 2016
Uamobitech
Dnipro, Ucrania, 18-19 de julio de 2016
#Security #Trust #Mobile #ZKP #KDF
| toboganes | Video de CocoAheads (RU) |
|---|
Las plataformas móviles presentan nuevas amenazas y nuevas oportunidades para la seguridad del sistema. Esta presentación trata sobre los enfoques modernos: cómo proteger los datos, que las relaciones de confianza emergen con el teléfono móvil, cómo afectan los diseños de seguridad tradicionales. Cómo los teléfonos móviles dictan importantes relaciones de cliente cliente.
Pero, lo que es más importante, hablamos de hacer de estas cosas un sistema consistente: cómo pensar en elegir las herramientas adecuadas, que los patrones arquitectónicos hacen cumplir la seguridad y minimizan los riesgos por diseño. Aprendemos sobre ideas de defensa escalonizada, compartimentación y control de riesgos. Terminamos con la comprensión de dónde estamos en este momento: en el panorama de seguridad que está cambiando rápidamente, y el papel de los móviles en él es peligroso y muy importante.
>>> Lea más en Medium Post <<<
Presentado en:
APPBuilders 16
Zurich, Suiza, 25-26 de abril de 2016
Cocoheads Kyiv #9
Kyiv, Ucrania, junio de 2016
#TeamManagement #desarrollo #Design #Mobile
| toboganes | Video (Ru) |
|---|
Como desarrollador, no quiero sentirme frustrado cuando necesito convertir diseños en activos.
Hablaremos de:
Presentado en:
#Security #Trust #Mobile #architecture
| toboganes | Do Video de iOS (Eng) |
|---|
>>> Lea más en Medium Post <<<
Presentado en:
Cocoáheads Kyiv
Kyiv, Ucrania, diciembre de 2015
Cocoaconfby
Minsk, Bielorrusia, diciembre de 2015
hacer {iOS}
Amsterdam, Países Bajos, noviembre de 2015
#Security #mobile #architecture
| toboganes | Sin video |
|---|
Presentado en:
#mobile #desarrollo #nlp
| toboganes | Sin video |
|---|
Historia corta sobre la aplicación de construcción con un filtro de texto de blasfemias en el interior.
Presentado en:
#Security #Mobile #UsersData #Commoncrypto
| toboganes | Video (Ru) |
|---|
¿Por qué deberíamos pensar en la seguridad en absoluto?
Cómo proteger los datos de los usuarios. ¿Por qué no deberíamos almacenar contraseñas? Base de datos en cifrado: ¿Es necesario o demasiado flojo para hacerlo?
Cómo transferir datos al servidor de manera segura. ¿Qué es el ataque MITM?
¿Qué es la protección de la contraseña? ¿Por qué las instantáneas y el cartón son peligrosos?
Presentado en:
#backend #mobile #parse #desarrollo
| toboganes | Video (Ru) |
|---|
>>> Lea más en Medium Post <<<
Presentado en:
#TeamManagement #desarrollo #mobile
| toboganes | Sin video |
|---|
Cosas agradables y útiles que hacer si te sientes demasiado vago para escribir código hoy.
Presentado en:
#TeamManagement #Development #Backend #Mobile
| toboganes | Sin video |
|---|
Este seminario web de Madcode se dedicó a las interacciones efectivas entre los desarrolladores móviles y de back -end para encontrar las formas de comunicaciones productivas con este último, no pasar su tiempo en encontrar quién cometió errores, sino desarrollar excelentes productos juntos.
>>> Lea más en Medium Post <<<
Presentado en:
