Inovação segurança desse Começa aqui leve escreve
o seu podcast de segurança em tecnologia.
Olá Jovens, sejam muito bemvindos a mais
episódio dessa você podcast eu sou tas
Pereira, gabriel prima, e Rodrigo Ba.
Até que enfim esses vagabundo voltaram os caras férias diante
a galera a galera mandando que cadê o cadê o
elenco, gravei episódios sozinho, já cadê o elenco da série,
eu falei, eu demi o pessoal mas já rec de.
Não pagou a gente mais greve.
Boa entrevista a primeira temporada espero
pensar sumir junto com Bob né?
Vou então boa, boa, bem bem bem levantado.
Mas fiquei colocado pra.
Mas que bom que não temos o Marcos
aqui hoje né também querendo ou não né?
Tem uma um balanço tudo uma
vida uma questão de equilíbrio.
Vamos lá pessoal, episódio de hoje antes começar a
episódio hoje na verdade, lembrar que o deve ser
como podcast ter o apoio da Cheque da nova
oito que são especializadas em segurança de sistemas e
código seguro, em que oito disciplina conta do Brasil
está abaixo na descrição do episódio lá no canal
do Youtube, e também no nosso site deve ser
Podcast ponto ponto b, vale lembrar também a contabilidade
oli que é especializada em profissionais área de ti,
e se você precisa abrir sua empresa, ou ligar
de contabilidade, entre em contato com o pessoal da
contabilidade olímpica que eles estão vão pra te atender.
E lembrar também a gold especializada
em application de desenvolvimento seguro.
Quer dizer só pra, fale com adultos e lembrar ainda né,
do nosso novo parceiro a Alura que eles estão agora pra
pegar a minha colinha aqui olha eles estão com a campanha
agora da imersão java, imersão java, então abrirão as inscrições a
partir do dia oito de março, até dia vinte e seis
de março então vai ter um período ali de você se
inscrever, no dia vinte e quatro de março haverá uma live
de abertura né, pra você entender o que que vai acontecer,
como será essa imersão, e terão um trauma período de aulas
ali quatro dias é do dia vinte e sete de março
o dia trinta de março.
Eu sei que é bastante data mas acompanha
o link aí que que fica mais fácil.
Em resumo gente, são cinco aulas online e gratuita, com
desafios práticos pra construir o seu primeiro projeto em java,
né adicionando seu portfólio, colocar no seu currículo dar Grande
aí tá, eu acho que é excelente minha opinião é
uma excelente oportunidade progredir na carreira de uma maneira geral,
tirando aplicação do java uma aplicação do 0 numa linguagem
muito utilizada muito popular que é o java, Inclusive pra
galera que é de segurança, falta esse, um pouquinho aí
do do a gente fala né, o pessoal não sabe
desenvolver não conhece código e tal, aí é uma oportunidade
de você ver uma aplicação, fazer uma aplicação ali do
0 funcionando ali e ter um pouquinho mais de de
de conhecimento né pra fazer a parte de você que
é melhor acho que está uma uma guinada aí na
sua carreira, Vale que é gratuito está você não paga
nada, pela imersão java lá na lua.
Mas se você quiser pagar alguma coisa né, tem
dez de desconto aí nos clubes, na plataforma com
o nosso código acompanhar o link também, nas plataformas.
Bom, então uns dia terão meia hora só
de só de patrocínio amém, amei mas é.
Mas por enquanto só só trade pessoal episódio de hoje
a gente vai começar falando, né, a verdade é uma
série né, gente está abrindo a série ora, serão divididos
aí a uns quatro cinco episódios, a gente vai analisar
ainda, mas essa é uma série na sequência gente vai
falar do projeto da Asp, acho que tem vários projetos
fantásticos mas tem um específico que é o aspas code
ou boas práticas de de código seguro, desenvolvimento seguro.
Basicamente é um cheque né, com algumas questões ali
de segurança que você pode que você pode ou
deve considerar durante o seu desenvolvimento durante o seu
ciclo de desenvolvimento a questão de defesa né, prevenção
com relação alguns os ataques alguns bugs e enfim
vulnerabilidades dar habilidades em geral.
Essa série ela foi uma dica daqui a pouco a produção
pega aqui pra gente mas ela foi uma dica, na verdade
uma sugestão no ouvinte nosso pra quanto a produção pega o
nome do novo ouvinte aqui pra pra comunicar e agradecer pela
pela sugestão, mas enfim deixa eu começar essa série hoje, link
do projeto da Também está na descrição do vídeo aqui lá
no nosso site, mas a ideia é a gente falar, começar
por essas que são quatorze práticas ou cartões e categorias né
que eles começam ali, e a primeira delas ou nas três
primeiras que a gente vai dar uma sei pra vocês que
hoje a ideia não é a gente ler né o checklist
lê o documento no podcast não faz sentido.
Mas é falar um pouquinho dessas práticas
né, e abordar repente trazer exemplos coisas
que a gente possa ter vivido.
Então a primeira delas que eu queria que eu queria
que os meninos começaram aí, antes de ser atravessar Ouso
dizer que isso daí cara você vai resolver no mínimo
oitenta por cento da da dos seus problemas mano.
Só primeiro né?
Com tudo que já já.
Você for ver ele ele cobre muitas vulnerabilidades.
Aí quando a gente estiver falando vocês vão
ver vai vai entrando em vai aprofundando.
Mas isso daqui é o
santo graal do desenvolvimento seguros.
Boa, boa, Inclusive a produção já levantou aqui, o nome
do Ouvinte que trouxe essa sugestão pra a gente é,
pec, não tem mais nome completa mas é como nome
de veto lá na nossa comunidade dos corte inclusive, então
participe da comunidade você pode dar sugestões pode vir participar
do podcast como foi o caso do episódio passado com
os ouvintes enfim, a ideia da comunidade o que a
gente está construindo que é exatamente isso Mas vamos lá.
Primeiro primeiro Ali né da categoria né,
de de boa prática de programação segura
é validação dos dados de entrada entrada.
Que o Rodrigo falou né, você fazendo isso isso aqui
oitenta por cento de das problemas vai resolver, Eu diria
que só com esses os oitenta por cento verdade Inclusive
nada em uma apresentação da da Asp aqui em São
Paulo e eu fui também, eles falam exatamente isso, validação
de entrada e uma saída já é noventa por cento
foi um pouco mais, noventa por cento dos problemas que
a gente tem hoje de ataques e implicações né?
Eu eu nunca esqueci minha primeira primeira aula de
algoritmos mano, e a a professora explicando aos conceitos
era uma professora inclusive meia, jamais esquecerei.
Grande Meia. Grande.
E ela ela mostrou um exemplo teórico que
era assim, todo algoritmo tem, entrada processamento saída.
Uma função um método, é isso, A essência
da programação é essa alguma coisa entra pra
ser processada, e gerar um notebook, qualquer que
seja, é, programação resume a isso.
E quando você fala de entrada é um básico
pro o processamento do seu algoritmo ou de qualquer
função do método linguagem etcétera de setenta.
Então validar essas temporadas literalmente né, acerca de
algumas coisas que a gente vai comentar aqui
é crucial pra evitar problemas do seu processamento.
E o processamento em si aliás problemas em si
que possam ser né falhas do processamento por si
só, ou exploração né no caso de vulnerabilidades e
coisas Eu queria pegar um item aqui, em que
eu gosto muito, e é um negócio mas é
muito difícil implementar isso nas linguagem, rodrigo que desenvolveu
o código sabe, um negócio absurdo de fazer é
muito difícil, vou começar com isso porque assim pra
galera sentir que segurança não é fácil, Ah então
vou pegar um item específico aqui do cheque inicial.
Validar o tamanho dos dados.
Puta está aqui para.
Comentem como?
Com isso eu acho que já já resolveu cinquenta por
cento das trinta que é uma coisa simples né é
interessante porque quando a gente fala de segurança parece igual
ka falou vai ser uma coisa surdas de outro mundo
você tem que aprender uma uma nova linguagem, você tem
que aprender não sei quê, E não tem nada a
ver as coisas são simples a esse nível, sim pisar,
cara se eu limitar o tamanho da entrada, eu já
consigo me tirar um monte de vulnerabilidade. Por quê?
Você deixa lá campo de cpf por exemplo.
Aí você deixa aberto.
E deixa string e deixa que for que foi de entrada.
Mano o cara pode colocar um s gigante ali.
Se você limita aos onze números do campo de Cpf,
você já alimentou muito tipo de de de vulnerabilidade.
É claro que existe um monte de de expo que consegue
né entrar com onze números ali dá mas só de você
limitar o tamanho do do do do da entrada, você já
lamentou o seu o script né o explode.
É ba Você não precisa de biblioteca,
você não precisa de mim nada você
você consegue resolver com cara uma checagem.
Um mano não qualquer linguagem qualquer é coisa?
E até antes de você comentar gabriel.
Vale destacar ainda quê, não vai me fazer esse
tipo de validação no Frontend, E claro que claro
que eu front tem que ter, você já evita
ali alguns bot algumas coisas né?
Tem que ter no frontend trade mas isso a
gente está falando de especificamente desse caso, backend né?
Você bloqueou o fronte bloqueado, o cara dar F doze
ou chama na Api lá porra aí aí você né?
É mas né?
Falei eu eu acabei a falar, a pergunta pro gabriel
é, você valida o tamanho da das entradas, Cara Cara
eu geralmente fico sabendo depois que entra já né já
falei já foi já foi pouco tarde pessoal tinha De
bom você fez aí né Eu vou um pouco além.
Um pouco além de código aqui né em aplicações que
tem funções normais e vou pedir pra vocês ouvintes a
gente está numa média de quatro a cinco ouvintes, você
ou ouvinte coloque no Google aí foguete Aria cinco, e
olha a descrição a causa que um foguete de um
bilhão de dólares por giz Olha de.
Eu vou ler pra vocês agora a causa de uma
linha aqui, que está na no site oficial deles snow.
Causa da explosão.
A explosão comeu quando o computador de orientação
tentou converter a velocidade do foguete de sessenta
e quatro bits, para dezesseis bits.
Uma muito grande o que resultou no
estouro de memória mas da esquerda governador
falou e foi explodiu gil, cara.
É um perigo é um que mais da entrada.
Como eu digo, mandou pra a esquerda da merda.
Que merda.
É exceto chifre Live acho que acho que funciona.
Agora vamos Vou pegar um gancho aí do que você falou
do de de front e feedback que é importantíssimo isso se
aplica acho que pra a maioria do das vulnerabilidades se não
a gente ia ficar falando isso né tipo bag front back
front, e acho que vale pra tudo.
Cara não confie na entrada.
Né, tipo não confie quem está te enviando,
é um erro muito comum você confiar nos
dados que está os dados de entrada.
Então muitas vezes você vê um back, sem validação, não
tem validação nenhuma mas não tem ele não se previne
de nada, achando que o Front é confiável o cara
traz carrega informação e pra cara cara já tem validação,
ou é um apaguei seja o que for a camada,
independente se é um serviço que é confiável não confia,
até porque se a porra do do sistema ele vai
evoluindo e outras frentes vai começar a consumir.
Então talvez você iniciou lá fazendo desenvolvimento.
Olhando só pra um cara e de repente, se ela é
uma api ele vai ser consumido por um outro serviço.
E daí aquele outro serviço pode ser que ele não
tenha a a a validação que você queria aí daí
já cagou tudo já né, que você congela nenhum, acabou.
Então cara, que isso daí de vale validar a entrada
é essencial e e realmente não é exagero de falar
que pode ser os oitenta porque sendo das lenin.
E e não é à toa que é o primeiro item
do mo code, né Validação cinco os dados entrada né.
Se o cara desistiu, ele já fez
boa caras está de parabéns né.
E o então uma parada importante com relação a isso
também que eu eu vejo muito que é o cara
fala assim, exemplo pro clássico né, mas eu estou na
rede, né estou aqui dentro não preciso ser.
Ah mas eu estou aqui não preciso mano é aí que
você precisa porque a história do redução de impacto o cara
ganhou, aí o cara está falar mas aí se tiver um
problema que quer dizer que o cara já entrou na rede
já ganhou o servidor pois é, se o cara te deu
uma faca então você vai deixar quieto, deixa eu ele torcer
a faca lá dentro, deixa ele explorar o seu inteiro com
a pec lá tem não não mano você Papo e tenta
tirar e correr né, usar aquele exemplo de casa quando ladrão
entrar casa tendo a sua casa que seu carro.
Se ladrão correr conseguir entrar a garagem
era você conseguiu quê boa boa.
Olha o outro item que eu queria ler aqui
desse checklist de validação de entrada é um quando
lá falha de validação, é obviamente, quando lá falha
de validação, a aplicação deve rejeitar os dados fornecidos.
Parece óbvio, mas assim, exemplo que Rodrigo De
está esperando um cpf né, sei lá dons
números, veio doze, você dá erro né?
Sendo um processo não vai pra frente, você dá
um erro dá mensagem, põe uma máscara de pra
formar sei lá sei ignora isso né, não segue
o processamento você simplesmente aviso usuários for o caso
retorna torna do morreu próprio quer que seja mas,
é o que ele fala, reger os dados.
Simples assim, parece óculos eu falar isso
mas importante, é importante te lembrar vida,
ele e olha só que interessante.
Quando ele não rejeita, ele passa pra outras camadas,
e ele vai fazer todo o processamento e processamento
custa mano, Sim cada cada entrada você está gerando
milhões de processamento bilhões cara está fila né, pra
quem quer usar de verdade você abre pra outras
vulnerabilidade outros tipos de, brutal tudo mais cara na
hora que você falou disso eu já lembrei de
uma vulnerabilidade que eu acho eu acho o Henrique
da velha lindo que é o wind kelly Jackson.
Que é, você manda, você não tem a
resposta você não tem a negação dela só
que você tem resposta de erro depois.
E você consegue calcular pelo tempo de resposta se
o que você está esperando ele vai vir.
Está senhora mandando mandando mandando mandando
mandando e não está processando.
E daí ele vai te respondendo ele vai
sempre responder erro só que com tempos diferentes.
Aí você vê lá, qual é o qual o
período que eu mandei que tem mais tempo você
consegue entender que que o processamento deu certo.
Cara eu acho fantástico.
E aí isso Aliás você você comentou tudo a
vulnerabilidade que ninguém vê né o Blanc diz é.
Nome é muito leve sex greve c Boa Hoje a
gente está tão afiada, porque 0 0 0 Marcos não
está ou vocês que voltaram a trabalhar né?
Deixa começa agora né?
Não depois está volto mas é boa, boa Boa,
destacar o Brasil outro hino vocês querem pegar muito
em Que eu vou, vou pegar legal.
Deixa eu pegar um aqui aí eu legal
pegar Espera pega ruim, o que é simples?
Cara pior que é tudo, sabe dizer.
A escrever gente você está falando pra mim que
não é a coisa mais difícil do mundo, não
é está tentando me dizer aqui a coisa vai
mais falar do que da segunda mano mano.
É segurança eu e o caso pra essa vida falando isso.
Fazer não faz trabalho dá mais trabalho
já dá pra forçar pra dar.
Falta O mais difícil nisso tudo é que é real
isso, Isso é real, o mais difícil nisso tudo de
segurança é você ter a noção que existe, é isso
tipo, geralmente as pessoas erram não porque ela quer ou
é por ignorância assim né, não módulo de desconhecer não
sabe conhecer aquilo ele não conhece.
Então a partir do momento que o cara
conhece e ele vai falar puta mano.
É isso é tipo puta mas era só
fazer isso é aqui está feito dois segundos.
Acabou, acho que a sensação que a galera tem antes
de você falar do item, a sensação que o pessoal
tem hoje, da dificuldade não é dificuldade de segurança.
Pelo menos apliquei isso aqui no nosso contexto aqui, mas
é o trabalho que dá por quê porque é muito
legal é muita coisa já rodando produção então você tem
que olhar pra trás, agora refazer tudo isso é ajustar
por isso isso dá muito trabalho mesmo.
E aí você vai ter vai ter barreiras de integração
vai ter mais tecnologia tem sérios problemas de fato.
Mas fazer tecnologias fazer tecnologia não fazer
segurança desenvolvimento segunda não é difícil?
Não é a verdade essa não e não toma muito tempo né?
Inicialmente quando você já tem tudo legado, tudo
mais tem que colocar não implantar nenhum ambiente
e já está rodando você vai gastar um
tempo inicial pra organizar as coisas, mas depois,
você que está ganhando tempo porque você para
de ficar parando a esteira pra ficar resolvendo
vulnerabilidade, você para de ficar gerando tantos relatórios
você começa a pesquisar tempo lá na frente.
Tem um gráfico até mostrando o custo de
de uma vulnerabilidade aí quanto você cedo você
encontra ela é mais barato sair pra empresa. Sim.
Bom, eu ia falar desse de
validação do tipo de dado esperado.
Parece parece Tipo coisa imbecil né tipo
cara o que que estou esperando? É o né?
Isso aqui é o famoso né?
É mas mas o ponto verdade, eu já tive situações
que eu tive que explicar pro cara, o que que
era uma especialização de dados seguras, né que aparece muito
e coisas que que aquela falar pra mim.
É isso, por você.
É isso pra é isso?
É uma mania é isso cara?
Pô então assim o 0 chefe do cara está querendo
matar está ele todo mundo mundo matar cara ela está
puto Estourando não, mas é isso tem fazer então quando
o cara sabe esse desconhecimento que você falou cara né?
A ignorância que comigo também né da
na questão de não saber né?
Causa isso né, tipo a pessoa fica surpresa
falando descobre só isso pra precisar fazer.
E eu acho que isso que gera um pouco de
resistência aí a opinião minha entrar com relação aos aos
desenvolvedores, por relação à segurança o cara pensa puta, É
não como é que é mais trampo, ele gosta do
técnico Mas é que é o desconhecido, Nossa eu vou
ter que resolver um incentivo desse ser fodeu, ele sabe
que cera eixos mas não sei alguém se que?
Aí você meu o cara é só que
eu estava rodada dessa forma tal ah.
Só que isso que você falou esse a,
que às vezes né, por isso que a
história do conversar né, integrar times de vinho.
Fala comigo rodrigo continuo.
Inclusive eu acho que esse daí é um problema geral
de comunicação né, acho que seria um trabalho trazer isso
pra um um é pra uma linguagem mais clara né
pro desenvolvedor de transformar isso pegar essa essa estrutura e
transformar uma forma do cara bater o olho e fala
ah beleza Vamos vamos usar assim, Que que vai ia
falar do de ser?
Pô, essa não esperar o dar válido.
Tem muitas linguagens que são fortemente tipo que a gente que
ela evita que você quer que você erre nisso né?
Então e o cara ele às vezes vai buscar outra linguagem
alguma coisa sei lá fora disso, pra tipo pra conseguir quebrar
sim o Python por exemplo ele não é né, você ele
consegue seria Aliás você até consegue mas você tem ir atrás
pra fazer isso ser tipi por exemplo.
Mas que eu quero dizer com isso que é?
As ferramentas e os frameworks eles tentam te evitar
eles te ajudar você a evitar esse tipo de
problemas com e a gente consegue quebrar essas coisas.
Então, é muito importante você saber o que está, na
verdade você já sabe o que você quer receber o
problema é que você tem que especificar quando que você
está desenvolvendo e você tem que parar olhar pra cara,
o que qual é a minha entrada?
A minha entrada é um texto, beleza, texto de qual
é a validação, O tamanho é caractere especial, sei lá.
Entender qual é a sua o formato da
sua entrada, que daí você evita explode.
E e outras quando você está conversando entre serviços, você
quando você estrutura o seu tipo de de dados, você
evita que o cara fica fique tentando descobrir né, Ele
fica batendo e tentando receber a resposta.
Sim se o cara não passa truque se
você define a estrutura, e você nega qualquer
coisa que seja diferente acabou bom?
É o cara ele não vai saber como é ele não
vai conseguir montar lá porque da tv erros você só só
é rejeita, falei cara não é isso estou esperando.
Um exemplo disso aí é cara cansei sei de fazer sistema
inclusive, na, época porque eu não sabia de segurança e ver
esses que o campo idade por exemplo era o inteiro.
O pessoal que c E java um inteiro trinta e dois bits,
então pra que que você precisa ter trinta e dois bits para
armazenar um número que aí vai de 0 a cem no máximo.
No máximo, você era sem a idade né?
Está bom vai cento e vinte, né?
Você quer deixar que é inclusivo porque não é
número negativo não precisa de trinta e dois mil
dezesseis também é o mínimo possível no inteiro.
Então é um exemplo cara eu preciso receber um campo,
eu eu vou vou pegar um um tipo de dado
aqui específico de 0 a cem 0 cento e vinte
vai acabou mano, aveia cento e vinte e um.
Ok veio menos um bloqueia 0 a 0 dependendo do caso né?
Pode ser bloqueado enfim vale uma discussão de negócio Mas
é isso mano o lixo, o que que você aceita
Às vezes a essa live deixa, ela pode ser muito
extensa, aí entre a questão do formato típico e tal
mas está esperando lá o email da vida.
Mano é foro formato ele não vai mudar, está
diferente daquele formato, é um problema é porque esqueci.
Acho esqueci é o ponto aqui pra
gente encerrar a primeira categoria, né?
Quero querer ele falar mais coisa
mas tudo aqui acho que já.
Cobre muito sobre vale validar atrás né É mas vale,
a gente comentou de três quatro itens, só essa parte
lá do documento, eles têm três seis nove e doze
quinze dezesseis itens pra você fazer um cheque lá de
validação de recursos de dados então dá uma lida porque
tem tem coisa interessante ali inclusive esse documento todo tem
coisas aqui dá pra aplicar no seu pra Por exemplo
como uma política e evitar que o código esteja fora
dessa política.
Né, de fazer checar, dependendo da solução sas que
você usa dá pra algum tipo de checagem também,
links que possam fazer essa validação enfim né, questões
aí pra gente pra desenvolver se você se o
cara faz isso, o cara economiza a grana preta
de contratar terceiros pra segurança mano. É?
O não sei o pessoal lembra né, a gente gravou
segunda temporada acho veio o Marcelo gravar com a gente
aqui mas sobretudo teto software, e ele falou cara, o
tranquilão Arquiteto tende a acabar, Eu diria que o trampo
do Apliquei seguidores também, não precisaria cara é pensei que
se deve fizer se as coisas têm que fazer.
Se o time de ênfase, fez essas coisas que tem que fazer.
Se eu time devolve fizer.
Enfim, próximo item da categoria é codificação de dados de
saída, né, o do meu jeito dos dados entram você
também tem vão sair de alguma forma o seu processamento
é importante co né, e tratar de de certa forma.
Esse item principalmente ele tem seis ali pra pra fazer
o jaqueline vocês querem comentar algum tem famoso se essa
é reflexo de famoso pra evitar um Xis, por famoso. Fala.
Ah eu ia falar justamente de vazamento de dados. Cara?
Não da mesma forma que você não confia, Quem está
enviando seus dados, você também tem que você não pode
confiar pra quem você está enviando os seus dados.
Então, por isso quer é codificação e e e tudo
mais ele tem que ser feita de forma simples.
Então o cara ele pode simplesmente espetar a sua api
e consumir tudo o que você tem, E se você
continua ela de forma estruturada, você vai dificultar isso né??
Boa assim não matou bem já era né?
Como assim você conseguiu entrar então
não mas isso é verdade né?
É mas tem um tem um item específico aqui olha?
Que é exatamente com relação a, ou coisas do tipo,
mas ele fala aqui olha, realizar o tratamento ou a
sanitização baseada em contexto de todos os dados provenientes de
fontes não confiáveis, usados para construir consultas s é o
tapa e enfim, ou seja, a consulta em si ela
é uma saída, né, você vai ser esse processamento até
pra evitar esse energético por exemplo então a ideia é
você recebeu um parâmetro vale dezoito pra que a sua
saída seja protegida, você garante que o comando que você
vai tá etcétera não esteja manipulado né, ou o pessoal
vasco falar de tempo por exemplo né, de ad essa
palavra legal.
Que não se já adulterado então a própria saída
em si pra pra pra você validar essa questão.
E o próprio Xe como o Gabriel falou né?
Saídas E coisas do tipo, se não tiver no
code corretamente né que é o que eles falam
que de codificação nesse sentido de coaching, Se você
não tiver o tratamento correto, dados que foram manipulados
podem entrar pra quem influencia a sua saída pra
que o Gabriel falou um g reflexo de outros
tipo manipulação na página da que também.
Aí entra no green jack né de
se clique exatamente é trouxe lista agora.
Tudo que consigo fazer html você, está
relacionado a coaching de saída de dados.
Ela lembra um problema que a gente pegou com isso.
Eu fazia parte de uma de uma de todo
um sistema, eu cuidava de alguns micro serviços, e
daí tinha dados de entrada e dado saída.
E sempre eu ouvia problema de do que estava chegando,
e sempre eu ouvia problemas do que estava saindo.
Eu fui lá, resolvi o que estava saindo então eu
iso os problemas que o pessoal trazia Zo, então eu
só me preocupava com quem entrava, daí eu conversava o
time fazia todo o tipo de tratamento do mais pra
entrada, falava cara mas não está chegando assim está chega
na saga não acha que pra cara.
O que que entenda?
Quem tem que tratar o dado de saída é o cara, Porque
eu não eu não não preciso se não vou ter que específico
ficar pra todos os sistemas que vai utilizar o meu me.
Não não é isso, eu tenho que receber o contrato
é esse olha aqui olha, eu recebo isso, por isso
que é interessante você tem que validar a entrada.
Porque se você receber saída cagada tem você pode ser essa
pessoa como a agente foi a gente fez isso também.
Sim é, a gente recebia a informação cagada.
Então o cara passava dados quebrado e quando eu chegava
link de Html e tudo mais, estoura toda aplicação Mano
ontem ontem, acordei mais cedo, acaso ligar tv estava passando
episódio do south park, só que o é que é
sensacional né Que era a galera eles inverteram lá a
galera estava botando comida na bunda cagando pela boca.
Cara inverter Mas exatamente exatamente
o que você falou.
Seu sistema confia no outro que está interno, a saída
veio cagada com entrada fiquei cagada sou saída do.
Ai cara bom enfim.
Gabriel é comentar tópico?
Ô fodase do soube já falei já próximo de
Próximo tópico é autenticação e gerenciamento de credenciais.
Isso aqui é isso aqui é clipe
critico né, como diria um filósofo.
Porque aliás esse sha ele tem mais de trinta e
trinta e cinco itens, né, de de de chá O
primeiro deles, o primeiro deles, eu tive um problema desse
uma empresa muito mas muito popular no brasil.
Galera conhece não vou falar.
Que é requerer autenticação para todas
as páginas e recursos, exceto para
aqueles que são intencionalmente públicos.
Colocam um, colocam ênfase em recursos aí por favor
só Que né página só todas as páginas e
recursos, mano, essa que eu trabalhei inclusive era uma
empresa que que lidar dá com uma informação sensível.
E o resumo da, você entendia e na Rn ficava teu do Cpf.
Qualquer cpf que você colocasse no, trazer os dados.
Mano.
Parece assim né loucura coisa e o sabe que é
pior é é quem não posso da empresa porque vai
dar merda, mas assim, um empresa que praticamente lidar só
com o Cpf só esse só fazem isso.
Só isso não diga mais nada.
Já sei qual Nossa Isso daí é tão é tão imbecil que
o cara não precisa nem ter uma lista de cpf pra pra
coletar é só ele colocar lá, cpf 0, mais um.
Aí ele vai rodando um forte lá acabou ele
nem precisa validar ele se preocupa com validação do
Cpf se existe a não só tudo.
E isso que é o famoso cara, você
está navegando na na nas páginas né?
Garante que cada request chamar assim numa página
o recurso né como bem da cor e
esteja de fato vale isso se aquele request
ou aquela requisição aquela solicitação pode ser atendida.
E essa história de navegar em páginas trocar parando cara
cansei de desenvolver essa inclusive, mas eu lembro que o
0 pei do meu Fine olha que ninguém, o lá
tinha um felizão lá o authenticator, né então pegava o
cookie valida dava certinho se o cara estava criticado pela
coisa pra garantir que pô cara o cara está uma
coisa está autêntico, talvez até a permissão, né, Então tem
tem duas coisas diferentes é ele até coloca aqui olha,
olha só como o checklist é bem bem claro, exceto
para aqueles ser tradicionalmente públicos.
Senão o cara vai querer pauta autenticação na
página pública e também além de peixe.
Fazer.
Então cara tem fala aí falei algum momento eu
agora um assunto que estou papo aí bom.
Diferenciar recurso de página né, quer vezes o
cara está ouvindo isso deve falar porra.
Então cada produto meu dentro de uma página vai tem que
ficar então pô conhecimento é é poder né cara então vamos
lá então tem a lógica aí também, saber diferencial diferencial que
é o recurso né o que é o produto né, tem
algumas empresas que cara, na faixa ali tem um milhão de
produtos dentro então né, a gente vê no dia a dia.
E o que realmente precisa estar autêntico que às vezes
já a gente fala assusta cara espera ela é como
dá um exemplo como ecommerce por exemplo você critica na
minha conta meus pedidos produto lá, mas uma lista de
produto vitrine você não tem então.
Preocupada o batom Rosa que eu tenho que ir
lugar com outro usuário não não faz sentido e
e autenticar as camadas né, tipo não só página
na não eu faço front não preciso mano.
Cursos meio sei lá, acesso dados, eu lembrei de
um caso, estava trabalhando no me, e daí eu
vi um camarada lá mexendo tal filmando.
Como que eu faço pra mexer aqui nessa api
aqui e tal pra tirar a medicação dele e
deixar ela mano eu leio eu disso.
É por que você quer deixar aplicação pública?
Ah chegou a requisição aqui eu vou fazer.
Ai eu espera aí mano.
Então de quem mandou aí eu fui atrás e tal é Espera
aí por que que você por que que você quer fazer isso?
Ah porque minha aplicação não está conseguindo enxergar
sua, ela tinha que enxergar mesmo né?
Era esse era o ela tinha que enxergar.
Ah eu não estou conseguindo bater na aplicação mas
aí a gente cria uma autenticação pra sua aplicação.
Mentira tira ela, você não abre ela pra pra
se você conseguir mano cara é meu difícil já
parou você parou eu pensa nesse eu mais difícil.
Eu vou e eu vou te falar ainda
na Gabriel, o pior está por vir.
Nesse dia eu já contei nesse casa aqui, foi esse
dia, que eu parei sentei pra ajudar o cara e
daí tomou mais tempo causa isso né você não vai
abrir essa que você vai arrumar e autenticar sua.
Aí os caras questionaram por que eu estava conversando
com segurança você estava conversando um caça pra caramba
como que a gente a cria mais usuário tal
não sei aqui pros os caras aqui.
Mano eu tomei comida de rabo velho.
Eu estava gastando tempo com isso Cara eduardo é é
mais rápido mesmo e lá ia abria a Api.
Quando eu depois a empresa foi né, teve problema né
faço do castro não se impressionou né só pra.
É preciso.
Vamos fazer a promessa aqui a promessa tá, Quando eu
ficar rico milionário não precisa mais trabalhar de fato, terá
um episódio só pra falar os nomes dessa do do
desses pouco que a gente trabalhou junto, de algumas empresas
que só fazer a voto A empresa si não tem
culpa culpa é das pessoas que estão lá.
Vai ter o episódio eu vou expor tudo geral for
do processo eu botar estar morando na mesmo vem buscar.
Olha vou acho que tem uma outra que
é mais fácil acontecer, se vezes estiver no
leito de morte, boa deixa ser escrito?
Aqui pra mim pegou boa Essa essa é uma história.
Quer dizer A certeza vai acontecer né?
Rico Na certeza. Deixa escrito.
Outro item que está aqui na lista que eu
queria puxar, vocês estiverem aí e podem falar mas
eu vou vou pegar isso aqui olha. Puxa.
Ele fala que olha, utilizar autenticação, para conexão
a sistemas externos, que envolvam o tráfego de
informação sensível ou acesso a funções.
Resumo que o rodrigo falou, você está chamando Api externa,
um, conecta, conectam de Au né, quem é você?
Quem quem tem buscar informação tem permissão de fazer isso
etcétera A própria conexão com o banco de dados, vale
destacar, tem que ter os várias senha né, põem uns
usuário sem enfim fotografa aquela coisa toda mas se eu
por que se ser externo né?
Pensa no seu algoritmo na sua aplicação você
está conectando um outro api em outro lugar
fora da tua função própria, você vai aprender
naturalmente é externo externo não de estar na
sua empresa, mas estraga sua o seu processamento.
Au de alguma forma mãe.
Ou não é acordo de uma validação, quem é que está
fazendo o quê, pra que que está fazendo essa, geram um
logo de auditoria disso, é o três da palavra Porque se
não você tem um caos que é hoje né?
Micros pra todo lado um chamam o outro e o
sul dos Ninguém sabe quem é quem ninguém já chama
quem ah está na minha rede, pode chamar pode invocar.
Cara é o caos né.
Comentar até né época porque como mais fazia a uma de
ameaça, que gente tinha muito meu messi fazer, e tinha xeque
de pergunta lá e uma pergunta era cara, essa aplicação ela
api o esse serviço com quem que elas comunica e com
quem que ela se, Então a gente faz essa pergunta e
era aonde o pessoal mais bate nada. Sem brincadeira.
Então quando a gente falava O quem que
essa api por exemplo essa aplicação se comunica.
Que que Na api ela consome cara, eu só patina ali.
Outro preciso validar confirmar tá eu estou descansando dela pô
preciso ver também e tal a gente estava um parque
teta ali, entendeu está pro cara que era pra saber
sobre isso né, gente vê que ter esse déficit no
mercado também do pessoal e atrás do básico, por essas
e outras que eu digo, aguarda a vinda dela da
a grande queda da ob.
Mas você você pode de pedra também né
completamente também você o tom vou fazer.
Um grande tecnologia.
Deve c.
Quer falar tem Rodrigues estou na, aí me falta.
Tem um aqui que eu acho bem
interessante vulnerabilidades daqui eu acho a exploração
disso eu acho que muito foda.
Ele é bem grande aqui mas em resumo é,
Quando você se você tiver que guardar é assim
ele fala pra você utilizar repositórios externos pra armazenar
suas suas suas e tudo mais.
Se você tiver que fazer isso dentro daqui
de casa assim você que estiver fazendo isso,
guarde de forma segura usando caramba.
Usando coach ainda não ou não, Não né
Quando você vai rechear ela, você ah.
Né vai ela de forma um. Que é o seguinte.
O cara você está amazônia as senhas.
Aí o cara chega na sua base e puxa tudo.
Se você armazena, que acha tomara que isso já
não exista né se armazene em forma de texto,
trabalho nenhum cara só pega e usa lá os
sem ele já tem tudo lá round, existe.
É Como Vou fingir que não.
A outra forma que o pessoal acha que é
seguro, é o Gabriel lembrou aqui não sei acho
que fazer o Rec né, fazer o resto.
É, é o pessoal fazer fm Me cinco.
O Me cinco, ele vai maravilha.
Você não vai desfazer porém existe uma técnica de
hashtag, você já vê bagulho de uhum uhum.
Bem bom vocês fazem.
Os ela saiu rolando fazendo um monte de
das principais senso são utilizar tudo mais.
Então ele consegue bater ele fala assim.
Ah essa chave alguém já gerou essa chave, já
o que que ela significa lá significa de mim.
Então o cara tem acesso né, ele
consegue fazer um debate ali acho sensacional.
E quando você faz o a a a criptografia de
forma segura, você cria parques dessa hash, e o só
o usuário tem acesso à outra parte dela.
Não quando chega no banco de dados você não consegue
nem desfazer e você nem consegue fazer esse depara da
da da rede, ela sempre vai ser única, Por mais
que você consegue por menos que você coloque duas senhas
idênticas, elas são pela geram red diferente né.
Vale usou tipo da fim e aspas
né, quem está só ouvindo, achar.
É um coisa assim um pouco diferente.
É tem um termo mais é o teste né Não fazer
vai gerar o resto dele Bom, o outro item que é
legal comentar, que ele está aqui ó, exigia nova autenticação.
Olha só, exigir nova autenticação dos usuários
é da realização de operações críticas.
É exatamente o pra quem usa aplicativo sei lá no por
exemplo é porque de banco, se tem você está lá vendo
o seu extrato né, navegando vegano ali total tal.
Aí você quer fazer o pix ele pede um pin,
né um vinte e quatro dias precisa tem de novo
então literalmente a nova autenticação, o cara já está atestado,
mas é pra garantir que é uma operação crítica né
está saindo dinheiro de vai gerar uma transação.
Então ele pô.
Valida, o cara é ele mesmo ele quer fazer isso
mesmo né, às vezes é um acidente então, operação crítica,
então é uma boa prática de uma maneira geral, exigir
essa double but cheque né, vamos chamar assim, normalmente entre
a gente veio trânsito financeira né?
Ou ou no dia a dia apertou seleção
arquivo vai aperta o botão da led.
Vai apareceu uma mensagem de confirmação, Quer
mesmo excluir esse arquivo, nesse caso uma
uma pergunta ele não está realmente, mas
é uma operação crítica, excluir um arquivo.
Né, um letal letal alguma coisa está cacto, confirmando quer
mesmo fazer isso não né, Tem um sim não tal.
Então caso de operações críticas né, ele fala
pedir uma nova autenticação que a gente está
falando da categoria específica aqui de autenticação credenciais.
É legal você considera os seus, né, é o ecommerce
pagamento o catástrofe da eleição do usuário enfim acho que,
a cris do que é criticou no seu negócio só
você pode não é a gente que vai classificar aqui. Né?
Diz eu acho que a exploração padrão
dela é o jack né, por exemplo.
Às vezes mais cachorro uma vez só, Aí está
lá armazeno, ele gerou uma autenticação com cara beleza,
é você mesmo que fez o login.
O cara pode simplesmente acessar os cursos do seu
navegador, pegar pra ele pronto ele ele já tem.
É mais ou menos assim é como é como se
fosse um crachá, funciona sendo como você se fosse um
crachá pra você meter o crachá da empresa, você tem
que ter autenticação manda seus documentos igual lá os caras
vai passam por todo o processo, que um trap pra
você passar lá na catraca.
Aí você perde seu crachá alguém rouba sintomas toma.
O cara só vai passar acabou ele já está criticado então
o essa validação aliás só re, seria mais ou menos o
processo do cara ter um um porteiro pra olhar que o
c crachá é a sua cara, coisa que o crash geralmente
tem a fotinha Sim pro cara olhar e fala mano espera.
O crachá de uma mulher esse é o homem mano.
Aí cara, está errado aqui tipo vamos ver o
que que está de errado, O cara vai verificar
né e nesse processo ainda seguida a lógica, gerou
um crachá novo invalida ou antigo, né?
Acontece com o cara você falou Isso.
Já gera um nove não naturalmente
já já coloquei o anterior tal.
Você falou um cookie na sessão mas
e até comentar isso aqui, beleza.
Pede da que de novo pro seu Ecommerce mais né?
Do Cookie pelo amor e Deus A história do tem
um problema relacionado a também fugiu nome agora mas a
lobo né um o cara faz louco mas ele só
des o cara da tela ali ela está.
Mas a sensação dele no sistema está válida a
história do cara da sessão, aquela coisa consegue reutilizar
esse item aqui tem trinta e cinco eu comprei
oitenta trinta e cinco cheque nessa nessa categoria.
Vai três, mas não vou falar mais o que é raio. Dele.
Ah mas um sou mais mas um só mais
um quarenta minutos dia até com uma coisa.
Valeu Esse vagabundo trabalhava agora que trabalhar dois
episódios não começou agora vale ressaltar pessoal o
convite aí, pai mãe, não estamos falando aqui.
Deve c.
Que falando daqui de coisa acontecer trinta anos
atrás não está por mais que pareça é.
É coisa que agora esse minuto aqui olha mesmo hoje
segundo, hoje no dia a dia essa merda acontecendo.
E por isso indignação tem que entender agora.
Você tem que pena agora.
Mas o cara vai virar o eu pode querer Eu estou louco.
Quando eu falo pra validar putin falou puta.
Fala eu rodrigo você falar outro último.
É aí não ia eu tenho o último aqui, mas
eu ia complementar outro você estava falando mas já coisa.
Não pula pula vai falando último, e
é engraçado isso daqui Caso você utilize
código de terceiro pra realizar autenticação.
Especial homem cuidadosamente pra garantir que o
mesmo não é afetado num código malicioso.
Claro sacanagem né.
Vai Vacina eu quero estar um Lp estalo nome
do pacote acabou não quero fazer mano não Cara.
Alguém já viajou comigo já fez pra mim.
Cara já existe um milhão de bibliotecas mano fazer que
eu vou fazer pra quem que eu vou fazer?
Perdeu tempo olhando essa nota empresa nunca falei nunca
ter problema esse esse esse é foda cara porque
assim é a história da confiança né?
O cara confia numa parada crítica, a agora
não vai validar todos ou pensaste na vida.
Deveria certo tomou.
Mas você não vai validar pra arredondar o canto do botão
a função que faz ninguém precisa validar Agora um cara que
está tentando você está passando dados críticos ali pro tempo, quero
que o cara não está jogando em um uma api externa
ou pegar esses dados sei lá né?
Mas caso, você estava gritando com botão,
ou não, eu vale dos cantos.
Mais.
Tem solicitações aqui na nossa vou falar não mas, trabalhamos
com soluções que tem o sa né, e tem gente
que pede pra marcar falso positiva em biblioteca em Sc
pra isso existe também tá isso existe.
É é é a mesma história você vai no médico, você sei
lá, o cara tira raios exames mais óbvios né da raio x
coisas do exames de imagem vamos chamar está lá na imagem.
Deve aqui o problema está bem do problema está aqui.
Aí o cara faz não.
Não é você falso positivo Não maluco loucura vai
levar ah o cara está sendo meu não não.
Vai levar no médico coloca um coloca um uma fita
em cima do bagulho não existe essa mancha do meu
pulmão aí não existe não Pronto a gente tira sarro
a gente brinca porque tem que ser né, tem que
ser leve o episódio e o podcast interessa assim mas
na verdade é que gente, ouçam são essa série, a
fantástica literalmente pra falar um pouco do documento traz exemplos
pra vocês boas práticas e depois fazer.
Mas está lá o 0 documento tem português própria
comida astro vou deixar os links aqui pra vocês
criem o guia de vocês re esse vídeo acho
importante que vocês apliquem né, anotem essas boas práticas,
aí desenvolvimento de você beleza?
Se não quiser clicar no link pro
uma bugada da Whats Sp her. Isso.
Seis mano e eu vou vou falar porque
esse bagulho é muito muito importante mano.
Faz isso, pega essa dor aqui não precisa ninguém
pedir pra sair da empresa, Pega essa porra aqui
leva faz isso, garanto que você vai ganhar um.
Garantido bom oitenta por das
vulnerabilidades você vai matar.
Se você aprender a fazer tudo está no gui não
ganha aumento a gente te contrata, e dá homem dá
calma Fechou então, eu acho que era é isso esse
episódio primeiro chama de primeiro episódio da nossa série, né
tem Os quatro cinco que episódio dizer pra pra complementar
todos os itens sugestão nosso ouvinte beto, aliás beto, queremos
você aqui, mentira não sei quem é então, manda só
nome Também mensagem no no pra gente saber o nome
completo aí no próximo episódio a te aqui sugestão dele.
Não íntimo beto acho que não repete demais.
Eu eu acho que for rodrigo outro, Ele entrou, pois lá juro
junto por Deus também era um pouco de ali social eu brinquedo
do meu pai meu nome do meu pai pra Roberto.
Talvez seja ele tá talvez pode ser por quê porque teve
uma sugestão aqui também da Alma, vocês viram vinte é uma
a Maria né é uma Maria, isso é uma Maria.
Fechou é quando alô nosso praça ouvinte é
uma Maria pinto, que a gente que a
gente se despede do de hoje também né?
Que bom que Marcos não estava aqui
pelo menos piadas foram engraçadas hoje né.
E é isso a gente fez semana que
vem eu sou ka Pereira privilégio, Rodrigo Ba.
Que eu Voltar a trabalhar né o ano quando começou.
Brasil foi uma maria.
Beijo termina aqui deve sequei deve o
seu podcast de segurança em tecnologia.