my talks
1.0.0
Uma lista das minhas palestras sobre engenharia de segurança, criptografia aplicada, usabilidade de segurança. Twitter, médio.
Tenho um amplo histórico de engenharia de software, agora trabalho em produtos e soluções na empresa de soluções criptográficas Cossack Labs. Fornecemos aos desenvolvedores ferramentas para proteção de dados confidenciais em aplicativos e infraestruturas, variando de serviços SaaS e aplicativos móveis a operadores críticos de infraestrutura / rede elétrica e redes SCADA.
Além das soluções, fornecemos consultoria de segurança de aplicativos e apropriados, ajudando os desenvolvimentos em vários estágios de desenvolvimento com consultoria de revisão de segurança e melhoria. Também eu e minha equipe conduzem treinamento seguro de desenvolvimento de software para desenvolvedores seniores, arquitetos e gerentes de produto.
Aproveitar!
(O mundo será o mesmo?)
Em 2021, estou me concentrando lavar as mãos Tópicos de segurança defensivos interessantes para leads de tecnologia, CTO, arquitetos de solução. Design de segurança e engenharia, criptografia de ponta a ponta para aplicativos distribuídos.
Envie -me um email se você quiser me convidar para falar em sua conferência :)
| vídeo |
|---|
Estamos falando sobre segurança de aplicativos móveis, introduza a segurança.plista, discutir casos relacionados à segurança na vida dos desenvolvedores.
#TrackHost
Verifique as conversas e o programa: os tópicos incluem OSINT, preconceito de segurança, segurança em um momento de insegurança.
#TrackHost
Verifique as palestras do YouTube: os tópicos incluem criptografia de PQ, engenharia de segurança, escalada de privilégios, hackers de IoT, segurança cibernética em todo o país, entrevista com Bruce Schneier.
| vídeo |
|---|
Estamos falando de criptografia e respondem a perguntas:
Apresentado em:
#Security #Crypto
| vídeo |
|---|
Falaremos sobre “criptografia chata”: por que os desenvolvedores não devem gastar tempo aprendendo todos os detalhes dos algoritmos de criptografia (ou inventar os novos). Como evitar matakes de criptografia típicos quando tudo o que você precisa é proteger os dados em repouso ou em movimento. Existem bibliotecas e ferramentas criptográficas suficientes para todos.
Apresentado em:
Confira: os tópicos incluem gerenciamento de riscos em segurança, equilíbrio de segurança e desempenho, SSDLC, DevSecops e Crypto pós-quatum.
#TrackHost
Confira: os tópicos incluem arquitetura de segurança, engenharia de segurança, criptografia, segurança organizacional.
#Security #Software-Architecture #Cryptography
| deslizamentos | vídeo |
|---|
Essa conversa é útil para pessoas que acreditam que a criptografia perfeita é uma lib com 1 página de leitura :)
A manutenção da biblioteca criptográfica entre plataformas é uma jornada cheia de bugs inesperados, hacks específicos do idioma, decisões difíceis e luta sem fim para tornar as APIs voltadas para desenvolvedores fáceis de usar e difíceis de usar.
Como simplificar conceitos de criptografia complexos em funções simples de "criptografia (msg, key)" e "descriptografar (dados, chave)? Como fornecer API unificado para 11 idiomas, quando alguns deles são fortemente timbados e outro é JavaScript? Seguro por padrão: quais opções de design devem ser feitas para proteger do uso indevido. Multi-plataforma: como garantir que a mensagem criptografada usando Ruby no X64 Ubuntu 18.04 seja descriptografada com sucesso no iOS12 no iPhone ARMV7S? Teste selvagem: analisadores estáticos, fuzzing, testes de unidade, testes de integração. DOCs: De qualquer forma, os desenvolvedores copiam-se do ReadMe, como garantir que copiem as coisas corretas.
Descreverei a experiência de 4 anos na manutenção da biblioteca de código aberto de várias plataformas THEMIS: do design da API a hacks específicos do idioma.
Apresentado em:
Treinamento público sobre engenharia de segurança e criptografia, conduzido em conjunto com Jean-Philippe Aumasson em Lausanne, Suíça, em 4 de novembro. Treinamento destinado a engenheiros de software e arquitetos de solução que funcionam em aplicativos distribuídos e recursos relacionados à segurança.
Detalhes sobre conteúdo.
Interessado em realizar treinamento semelhante para sua equipe? Envie -me um email.
#mobile #iosdev #encryption #e2ee #bear
| deslizamentos | blogpost | Vídeo (RU) | Vídeo (Eng) |
|---|
O caso real sobre uma nota grande, levando o aplicativo, que decidiu implementar a criptografia de nota conveniente e o bloqueio de anotações para a base de usuários existente. Mas encontrar um equilíbrio entre a usabilidade, a segurança e as restrições das plataformas móveis é complicado.
Começaremos com o esquema de design de segurança, selecionaremos a biblioteca de criptografia adequada, implementaremos o fluxo e nos preparará para incidentes. Agora - pense sobre isso - a criptografia é apenas o capítulo 3 em Owasp Masvs (8 capítulos em geral). Até a melhor criptografia falhará se os controles básicos de segurança forem mal implementados.
Pontos que vamos passar: a diferença entre "bloqueio" e "criptografar", a diferença entre a senha e a chave de criptografia, como sincronizar senhas entre dispositivos, o que exatamente armazenar no keychain/keystore, como usar a criptografia adequada (aetr cbc ou aes gcm, salt? E se os usuários alterarem suas impressões digitais - devemos invalidar todas as senhas?), Atualizando a versão de criptografia (imagine, a vulnerabilidade é descoberta em nossa biblioteca ou aplicativo - como atualizar a cifra e migrar suavemente os usuários para a nova cifra, se os usuários nem sequer tiverem uma pista de que a criptografia foi a versão).
No final, este é apenas um simples ticket jira "Vamos criptografar as notas" dos olhos do engenheiro de software de segurança :)
Apresentado em:
Frenchkit
Paris, França, 7-8 de outubro de 2019
Rsconf
Minsk, Bielorrússia, 9-11 de agosto de 2019
Conferência Kiev
Kyiv, Ucrânia, 28 de julho de 2019
#Mobile #IOSDEV #ENCRYPTION #Privacy
| deslizamentos | vídeo em breve | Postagem do blog | entrevista |
|---|
A Apple fez muitos anúncios no WWDC 2019 sobre criptografia, segurança cibernética e privacidade. Anastasiia destacou mudanças importantes para os desenvolvedores - incluindo a nova estrutura do CryptoKit, regulamentos de privacidade de dados, novas permissões de aplicativos.
Apresentado em:
#security #software-arquitetura #app-sec
| deslizamentos | Vídeo (en) | Vídeo (RU) | Postagem do blog |
|---|
Não surpreende que quaisquer micro-serviços, quaisquer controles de segurança que você use para criar aplicativos-eventualmente serão quebrados (ou falham). Sob certa pressão, alguns componentes falharão juntos.
A questão é: como construímos nossos sistemas de uma maneira que os incidentes de segurança não aconteçam, mesmo que alguns componentes falhem. E os vazamentos de dados não ocorreram, mesmo que os ataques sejam bem -sucedidos.
"Defesa em profundidade" é um padrão de engenharia de segurança, que sugere a construção de um conjunto independente de controles de segurança destinado a mitigar mais riscos, mesmo que o invasor atravesse o perímetro externo. Durante a palestra, modelaremos ameaças e riscos para a aplicação distribuída moderna e a melhoraremos construindo várias linhas de defesa. Visão geral, padrões de alto nível e ferramentas exatas do mundo da engenharia de segurança e as explicarão para os desenvolvedores da web modernos;)
Apresentado em:
Swampup
San Francisco, EUA, 17-19 de junho de 2019
Mucon
Londres, Reino Unido, 29-31 de maio de 2019
InfoShare
Gdansk, Polônia, 8-9 de maio de 2019
JSFest Kyiv
Kyiv, Ucrânia, 5-6 de abril de 2019
| Slides (UKR) |
|---|
Eu estava co-organizando e falando no evento Cyberkids durante a Conferência de Segurança Cibernética Non-Aamecon em Kiev, Ucrânia, 14-17 de maio. As crianças aprenderam o básico sobre criptografia e fizeram exercícios simples de cifra-decifra.
Leia sobre o meu post LN e o site NonAmecon.
Apresentado em:
#gerenciamento de chaves #workshop #mobile #cryptography
| deslizamentos | Repo Github |
|---|
OWASP SSDLC, Como selecionar a biblioteca de criptografia, quais são os erros comuns na implementação de criptografia em torno dos dados. Técnicas de gerenciamento de chaves (armazenando senhas de usuário, armazenando teclas de API).
A lista de tarefas acionáveis de coisas que você pode querer melhorar em seus aplicativos, aprofundar sua compreensão do cenário da segurança cibernética, um conjunto de recursos para ler/mergulhar em seguida para tornar seus aplicativos ainda mais seguros.
Workshoped em:
Ensaio para a revista DE Programmatica Ipsum sobre o desenvolvimento de software seguro e a lacuna de mentalidade entre o mundo dos fabricantes de produtos e o mundo das pessoas de segurança.
#security #software-arquitetura #BASIC-SANIDADE #Engenharia de produtos
| deslizamentos | vídeo |
|---|
Veremos profundamente o ciclo de vida dos dados, o risco, a confiança e a forma como eles afetam a arquitetura de segurança, a criptografia e as principais técnicas de gerenciamento. Ilustraremos padrões típicos de SDL: estreitando confiança, monitoramento de intrusões, zero arquiteturas de conhecimento, distribuição de confiança. O objetivo da palestra é fornecer uma estrutura de pensamento geral e idéias suficientes sobre ferramentas para os engenheiros seniores planejarem suas soluções com segurança, sobre dados sensíveis contidos.
Plano:
? Aplicativos modernos são multi-componentes, a maioria dos vazamentos de dados é causada por más decisões arquitetônicas,
? O que é um ciclo de vida de dados sensíveis,
? como criar modelo de confiança para o seu aplicativo,
? Quais são os padrões de confiança típicos,
? Como selecionar controles de segurança adequados com base em riscos do mundo real.
Apresentado em:
Devexperiência 19
IASI, Romênia, 19 de abril de 2019
Javazone 18
Oslo, Noruega, 12-13 de setembro de 2018
#security #usability #BASIC-SANIDADE #Engenharia de produto
| deslizamentos | Sem vídeo ainda |
|---|
Esta é uma história de passar por desafios típicos de segurança: como criar produtos que oferecem garantias de segurança com segurança, evitam armadilhas típicas e são utilizáveis de maneira previsível por usuários reais. É uma história de equilibrar a adesão religiosa às práticas de segurança para manter em mente as necessidades do cliente em todos os tempos dentro da equipe de desenvolvimento; ouvir os clientes e observar o comportamento real fora da natureza; e tentando tomar as melhores decisões para capacitar os clientes com ferramentas fáceis para criptografar dados em seus aplicativos com segurança e sem dor.
Vamos dar uma olhada no processo através dos olhos de um de nossos clientes, que fez todas as coisas erradas antes de fazer as coisas certas e, através dos olhos do engenheiro de produtos, responsáveis por aprender as lições para tornar os produtos de segurança ainda mais utilizáveis e confiáveis para engenheiros não focados em segurança.
Takeaways -chave:
Os participantes passarão por vários estágios de criação e implementação de ferramentas de criptografia/detecção de intrusões de banco de dados. Eles verão o trabalho "nos bastidores" dentro de uma empresa de engenharia criptográfica, verão como os clientes são uma das pessoas mais úteis para aprender e como superar "dizemos o que fazer", a mentalidade torna as ferramentas de segurança melhores.
Apresentado em:
#security #workshop #mobile #cryptography #symm-cryption #assimmm-criptografia
| Repo Github |
|---|
Os algoritmos e protocolos de conhecimento zero garantem que não sejam chaves, senhas, arquivos ou qualquer outro material sensível já transferido em um formulário não criptografado ou reversível. Não há sentido em que as chaves de criptografia ou arquivos não criptografados sejam visíveis para os servidores ou administradores de serviço.
Tomamos o aplicativo iOS simples (aplicativo Notas do Firebase) e implementamos dois esquemas de criptografia para ilustrar como é fácil proteger os dados, mesmo para aplicativos que usam BAAs.
Plano:
Workshoped em:
Workshop especial para mulheres que codificam Kyiv
Kyiv, Ucrânia, 30 de agosto de 2018
O Swift Aveiro
Aveiro, Portugal, 21-22 de junho de 2018
#Mobile #Security #Basic-Sanity
| deslizamentos | Vídeo de Uikonf | Vídeo de Mdevtalk | Vídeo de Cocoaheads [RU] |
|---|
Antes de se aprofundarmos nas vulnerabilidades dos protocolos: coisas, você deve se lembrar de projetar o fluxo de seu aplicativo do ponto de vista de segurança.
Essa palestra se concentrará nos títulos dos copianos do InfoSec: o que você precisa saber antes de coisas interessantes, como criptografia e detecção de incidentes assistidos pela AI. Como, escolha de dados que você mostra no modo de segundo plano, escolha de SDKs de terceiros, que registram que enviamos e para onde ...
Mesmo quando os desenvolvedores criam aplicativos com segurança em mentes, protegem os segredos do usuário e não revelam dados não criptografados, os invasores podem encontrar maneiras de ignorar essas medidas de segurança, explorando fraquezas arquitetônicas e vulnerabilidades inobiliadas, mas muito simples. Falaremos sobre todos os pequenos pedaços são necessários para tornar seu aplicativo seguro contra ataques simples, antes de focar nas coisas difíceis (como criptografia).
Apresentado em:
Cocoaheads Kyiv #14
Kyiv, Ucrânia, 6 de outubro de 2018
Mdevtalk 18
República Tcheca de Praga, 24 de maio de 2018
Uikonf 18
Berlim, Alemanha, 13-16 de maio de 2018
#security #crypto #databases #notmobile #trust #Infrastructures #Separação-of-duties #echelonization
| deslizamentos | Vídeo de Qcon | Vídeo de segurança bsides [ru] |
|---|
A investigação técnica aprofundada sobre criptografia em um contexto mais amplo: como ajuda a restringir riscos mais significativos para as superfícies de ataque controladas, permitem gerenciar o risco de maneira eficiente e elegante, como ferramentas e algoritmos ficam em um contexto mais amplo do gerenciamento de riscos em toda a infraestrutura associados a manipular dados sensíveis.
Apresentado em:
QCON LONDRES 18
Londres, Reino Unido, 5-7 de março de 2018
Segurança Bsides Ucrânia
Kyiv, Ucrânia, 21 de abril de 2018
Codemotion Milan
Milão, Itália, 29 a 30 de novembro
#Security #Crypto
| deslizamentos | Vídeo (RU) |
|---|
Criptografia em nossas vidas: por que você não deve gastar tempo aprendendo todos os detalhes dos algoritmos de criptografia. Erros típicos que você comete usando criptografia em seus produtos. Como evitar os compromissos noturnos, mas codificar 'rápido e chato'.
Apresentado em:
Swift e Fika
Estocolmo, Suécia, 10 de setembro de 2018
Devexperience.ro
IASI, Romênia, 23 de abril de 2018
Owasp Kyiv Meetup Winter 17
Kyiv, Ucrânia, 2 de dezembro de 2017
#Security #BlockChain
| deslizamentos | Vídeo (RU) |
|---|
O trabalho do engenheiro de segurança é escolher as soluções apropriadas para os problemas e aplicá -los. Discutir blockchain em relação à criptografia é bastante chato: é simples e até algumas suposições nos protocolos de alto nível não causam protestos.
Vou falar sobre o outro lado - onde o blockchain parece uma estratégia ideal, onde causa perguntas. Passamos pelos modelos de risco e ameaças, confiança e garantias, para a experiência de usar o blockchain no projeto real (e o que aconteceu a seguir).
Apresentado em:
#security #mobile #zkp #zka
Slides | Vídeo mobiconf | | Devfest Baltics Video] (https://www.youtube.com/watch?v=o-pnvvcc5fy) ---- | --- | --- |
Com o acesso intensificador de ameaças, bisbilhotando os governos e a internet insegura, a importância das arquiteturas de aplicativos de conhecimento zero e a confiança de ponta a ponta, para as coisas mais complicadas que as mensagens simples, se torna cada vez mais óbvia para os desenvolvedores de aplicativos.
Falaremos sobre problemas do mundo real contra os quais o ZKA luta, aprenderá desenhos criptográficos típicos e progredir em diferentes esferas do ZKA. Descobriremos como tornar o compartilhamento de dados, a colaboração do usuário nos dados na nuvem com seu aplicativo é provável.
Apresentado em:
Devfest Baltics 17
Riga, Letônia, 17 de novembro de 2017
SE Conf 17
Kyiv, Ucrânia, 27-29 de outubro de 2017
Mobiconf 17
Cracóvia, Polônia, 5-6 de outubro de 2017
#ux #productdev #mobile #design
| deslizamentos | vídeo |
|---|
Esta é uma história de um designer @anatinge e um desenvolvedor que trabalhou juntos e construiu um produto para pessoas que realmente precisam. Trata -se de trabalhar em uma colaboração apertada, conduzir pesquisas e entrevistas de usuários, compartilhando dicas e truques sobre o trabalho em equipe.
Apresentado em:
#security #keys #mobile #trust
| deslizamentos | Vídeo Appbuilders | Vídeo CraftConf |
|---|
Falaremos sobre a construção de confiança. A confiança é construída em torno de vários tokens de confiança: chaves, senhas, segredos, propriedades biométricas, coisas que você tem e coisas que sabe. Falaremos sobre o que você deve confiar, como estabelecer e verificar a confiança, como compartilhar de confiança entre diferentes usuários. Discutiremos aspectos técnicos: troca-chave, confiança-chave, derivação-chave, confiança do canal, autenticações multifatoriais. Vou tentar fazer o público entender como esse enorme universo de ferramentas e algoritmos serve apenas um propósito: deixar os caras certos, mantendo os caras errados fora do nosso castelo mágico. E fadas deveriam haver!
>>> Leia mais em Postagem média <<<
Apresentado em:
Mobile otimizado
Minsk, Bielorrússia, 14 a 15 de julho de 2017
CraftConf 17
Budapeste, Hungria, 25-28 de abril de 2017
Appbuilders 17
Lausanne, Suíça, 24 a 25 de abril de 2017
#security #mobile #kittens
| Sem slides | Sem vídeo |
|---|
Resumo Talk para os novatos no campo de segurança.
As plataformas móveis apresentam novas ameaças e novas oportunidades de segurança do sistema. Esta apresentação lidará com abordagens modernas: como proteger os dados, que os relacionamentos confiáveis surgem com o telefone celular, como eles afetam os layouts de segurança tradicionais. Vou lhe dizer como os telefones celulares determinam relacionamentos importantes do cliente-servidor.
Baseado em minhas outras palestras.
Apresentado em:
Meetup de tecnologia no Cactus Hackathon
Kyiv, Ucrânia, maio de 2017
Mulheres que codificam o encontro Kyiv
Kyiv, Ucrânia, março de 2017
#security #workshop #mobile #ssl
| deslizamentos | Sem vídeo | Repo Github |
|---|
A idéia era compartilhar alguns conhecimento sobre como criar aplicativos mais seguros. Nós conversamos sobre:
Apresentado em:
#security #keys #mobile #trust
| deslizamentos | Vídeo EatDog, 1H (RU) | Mobiconf Video, 40m (Eng) |
|---|
Falaremos sobre a construção de segurança, que não falha quando as chaves do aplicativo estiverem expostas; Quando os servidores são hackeados; A segurança que dura enquanto as teclas de criptografia do usuário exclusivas (ou senhas) forem seguras. Colocar segredos conhecidos pelo usuário para ser uma fonte de confiança é a maneira final de um aplicativo se tornar "fino" em relação ao modelo de segurança, diminuindo assim os riscos e a dor do desenvolvedor. Aprenderemos sobre o sistema de camadas de segurança transparente fino e sua aplicabilidade nos sistemas cliente-servidor.
>>> Verifique se há transcrição e vídeo no reino (25m) <<<
Apresentado em:
Mobiconf
Cracóvia, Polônia, 6-8 de outubro de 2016
Nsbarcelona
Barcelona, Espanha, 21 de setembro de 2016
Nspain
Logrono, Espanha, 14-15 de setembro de 2016
Tente! Swift
NYC, EUA, 1-2 de setembro de 2016
EatDog
Kharkov, Ucrânia, 18 de agosto de 2016
#TeamManagement #Development
| deslizamentos | UMT Video (Ru) |
|---|
Todo mundo está falando sobre a especialização dos desenvolvedores. 'Conheça seu nicho'. Temos conferências separadas para cada área de desenvolvimento agora: celular, nuvem, big data, IoT. Para construir um aplicativo móvel moderno multiplataforma, você precisa trabalhar com equipes separadas de iOS e Android Dev, separam a equipe de desenvolvimento de back -end, designers e gerentes. Não parece muito?
Falarei sobre outra maneira de organização: equipe de desenvolvimento multiskililded, experiência e benefícios.
Apresentado em:
Agilepizza #49 Meetup
Kyiv, Ucrânia, 26 de julho de 2016
Uamobitech
Dnipro, Ucrânia, 18-19 de julho de 2016
#security #trust #mobile #zkp #kdf
| deslizamentos | Vídeo Cocoaheads (RU) |
|---|
As plataformas móveis apresentam novas ameaças e novas oportunidades de segurança do sistema. Esta apresentação lida com abordagens modernas: como proteger os dados, que confiam nos relacionamentos com o telefone celular, como eles afetam os layouts de segurança tradicionais. Como os telefones celulares determinam relacionamentos importantes do cliente-servidor.
Mas, o que é mais importante, falamos sobre como tornar essas coisas um sistema consistente: como pensar para escolher as ferramentas certas, quais padrões arquitetônicos aplicam a segurança e minimizam os riscos por design. Aprendemos sobre idéias de defesa, compartimentação e controle de risco escalonizados. Terminamos com o entendimento de onde estamos agora: no cenário de segurança que está mudando rapidamente, e o papel da Mobile é perigoso e muito importante.
>>> Leia mais em Postagem média <<<
Apresentado em:
AppBuilders 16
Zurique, Suíça, 25-26 de abril de 2016
Cocoaheads Kyiv #9
Kyiv, Ucrânia, junho de 2016
#TeamManagement #Development #Design #Mobile
| deslizamentos | Vídeo (RU) |
|---|
Como desenvolvedor, não quero ficar frustrado quando preciso converter designs em ativos.
Vamos falar sobre:
Apresentado em:
#security #trust #mobile #architecture
| deslizamentos | O vídeo iOS (Eng) |
|---|
>>> Leia mais em Postagem média <<<
Apresentado em:
Cocoaheads Kyiv
Kyiv, Ucrânia, dezembro de 2015
Cocoaconfby
Minsk, Bielorrússia, dezembro de 2015
fazer {iOS}
Amsterdã, Holanda, novembro de 2015
#security #mobile #architecture
| deslizamentos | Sem vídeo |
|---|
Apresentado em:
#Mobile #Development #NLP
| deslizamentos | Sem vídeo |
|---|
Palário curto sobre a criação de aplicativos com filtro de texto de profanação dentro.
Apresentado em:
#security #mobile #usersdata #commoncrypto
| deslizamentos | Vídeo (RU) |
|---|
Por que devemos pensar em segurança.
Como proteger os dados dos usuários. Por que não devemos armazenar senhas. Encrypt Database: é necessário ou com preguiça de fazer isso?
Como transferir dados para o servidor de maneira segura. O que é o ataque do MITM?
O que é proteção de senha? Por que os instantâneos e a pasta são perigosos?
Apresentado em:
#backend #mobile #parse #Development
| deslizamentos | Vídeo (RU) |
|---|
>>> Leia mais em Postagem média <<<
Apresentado em:
#TeamManagement #Development #Mobile
| deslizamentos | Sem vídeo |
|---|
Coisas agradáveis e úteis para fazer se você se sentir com preguiça de escrever código hoje.
Apresentado em:
#TeamManagement #Development #Backend #Mobile
| deslizamentos | Sem vídeo |
|---|
Este webinar MadCode foi dedicado às interações eficazes entre os desenvolvedores móveis e de back -end para encontrar as maneiras de comunicações produtivas com este último não gastando seu tempo em encontrar quem cometeu erros, mas construindo ótimos produtos juntos.
>>> Leia mais em Postagem média <<<
Apresentado em:
