আমি কীভাবে প্রোগ্রামারদের ব্যবহারকারীদের দ্বারা প্রবেশ করা ডেটা ক্যাপচার করা থেকে আটকাতে পারি?

Question

আমি সুরক্ষার উপর জোর দিয়ে একটি ওয়েব অ্যাপ্লিকেশন বিকাশ করছি। যারা অ্যাপ্লিকেশন (প্রোগ্রামারস, ডিবিএ, গুণমানের কর্মী) ব্যবহার করে তাদের ব্যবহারকারীর প্রবেশ করা মানগুলি যেমন সুরক্ষিত করা উচিত, যেমন পাসওয়ার্ড, সামাজিক সুরক্ষা নম্বর ইত্যাদি থেকে আটকাতে কী ব্যবস্থা নেওয়া যেতে পারে?

Comments

আমি আপনাকে পরামর্শ দিচ্ছি যে আপনি এখানে প্রশ্ন পোস্ট করুন: security.stackexchange.com/?as=1

— NoChance

"প্রতিরোধ" খুব শক্ত শব্দ। আপনি খারাপ অভিনেতাদের খারাপ অভিনেতাদের আটকাতে পারবেন না । আপনি যা করতে পারেন তা হ'ল "ন্যূনতম সুযোগ সুবিধা," "কর্তব্য পৃথকীকরণ" এবং "অন্তর্নিহিত অস্বীকার," নিরাপদ উপায়ে স্থপতি জিনিসগুলি এবং এমন লোকদের নিয়োগ করুন যেমন আপনি নির্ভর করতে পারেন এমন মৌলিক সুরক্ষা নীতিগুলি শিখতে এবং প্রয়োগ করা। অনিবার্য যখন অবশেষে ঘটে তখন ক্ষয়টি প্রশমিত করার লক্ষ্যে কার্যক্ষম পরিকল্পনা করুন Have

— রবার্ট হার্ভে

আপনার যে প্রযুক্তিগুলির প্রয়োজন তার প্রযুক্তিগত শর্তাদি: হ্যাশিং এবং এনক্রিপশন।

— রবার্ট হার্ভে

Answer 1

এটি বেশ সহজ। ব্যাংকগুলি সর্বদা এটি করে।

আপনার সাথে জড়িত তিন গ্রুপ রয়েছে। এগুলি সুরক্ষা গোষ্ঠী। স্বতন্ত্র অনুমোদনের সাথে।

বিকাশকারীরা সুরক্ষা অনুমোদন বরাদ্দ করতে পারে না এবং উত্পাদন ডেটা দেখতে পারে না।

অপারেটররা সুরক্ষা অনুমোদন দিতে পারে না এবং সফ্টওয়্যার তৈরি করতে পারে না।

সুরক্ষা লোকেরা যারা অনুমোদনগুলি সেট করে এবং কোনও সফ্টওয়্যার তৈরি করতে পারে না বা সফ্টওয়্যার পরিচালনা করতে পারে না।

বিকাশকারীরা সফ্টওয়্যার তৈরি করে। অপারেটররা এটি ইনস্টল করে এবং এটি পরিচালনা করে। সুরক্ষা লোকেরা আশ্বাস দেয় যে দুটি গ্রুপকে আলাদা রাখা হয়েছে।

Comments

ঠিক আছে, তবে কোনও বিকাশকারী এখনও সিস্টেমে এমন কিছু যুক্ত করতে পারে যা তার ব্যক্তিগত অ্যাকাউন্টে প্রোডাকশন ডেটা ইমেল করে; বা এমন কোনও সার্ভারে প্রোডাকশন ডেটা লিখে যেখানে সে তা তুলবে। আমি মনে করি এটির একমাত্র উপায় হ'ল কঠোর কোড-পর্যালোচনা ব্যবস্থা regime

— দাউদ ইবনে করিম

কর্মীদের যে স্তরের আস্থা থাকে তা সর্বদা থাকে। কারও কাছে প্রাসাদের চাবি থাকতে হবে, এবং যদি আপনি বিশ্বাস করতে না পারেন যে তারা তাদের দেওয়া শক্তিটি বোঝে, তবে সম্ভবত আমাদের সেই চাবিগুলি প্রথম স্থানে দেওয়া উচিত নয়।

— ক্রিস

হ্যাঁ, তবে কীগুলির জন্য একাধিক ব্যক্তির প্রয়োজন (যেমন কোড পর্যালোচনা ব্যবস্থা) এর অর্থ হ'ল আপনার আপস করার আগে আপনাকে "পথভ্রষ্ট" হওয়ার জন্য দু'জনের দরকার এবং এটি "মাত্র একজন" কর্মচারী বিপথগামী হওয়ার এবং প্রদত্ত কীটিকে গালাগাল করার চেয়ে কম সম্ভাবনা রয়েছে is তাদের। এটি বিশ্বাসের ভারসাম্য রক্ষার বিষয় এবং সেই বিশ্বাসের অপব্যবহারের পরিণতিগুলি। এবং ভুলে যাবেন না যে মানুষ এবং পরিস্থিতি পরিবর্তিত হয়। চাবি দেওয়ার সময় একজন ব্যক্তির বিশ্বাসযোগ্য ব্যক্তি জীবনে এমন কিছু ঘটতে পারে যার দ্বারা সে কম বিশ্বাসযোগ্য হয়ে যায় ...

— মার্জান ভেনেমা

@ এমদাদকারিম: সঠিক। সুরক্ষা ব্যক্তি গোষ্ঠী এবং পাসওয়ার্ড সেট করে এবং পুনরায় সেট করে তবে ডেটা দেখতে পারে না। কেবলমাত্র অপারেটররা আসল তথ্য দেখতে পারে। প্রকৃত টেলরদের দ্বারা পরিচালিত প্রকৃত অর্থের মতো ডেটার কথা ভাবেন। প্রোগ্রামাররা অর্থ স্পর্শ করে না; শুধুমাত্র টেলারদের। একইভাবে, সুরক্ষা লোকেরা অর্থ স্পর্শ করে না; কেবল টেলাররা অর্থ স্পর্শ করে।

— এস .লট

@ এমদাদ কারিম: ডিবিএ'র বিকাশকারীরা নেই। দুটি গ্রুপ রয়েছে: সুরক্ষা এবং ডেটা। ডেটা ডিবিএ হ'ল "অপারেশন" এর একটি বিশেষ অংশ। তাদের সুরক্ষা পরিবর্তনের অনুমোদন থাকা উচিত নয় ; তারা কোড লিখতে পারে না; তবে তারা ডেটা দেখতে পাবে এবং অবশ্যই অপারেটরের মতো আচরণ করা উচিত, বিকাশকারী নয়।

— এস। লট

Answer 2

প্রোগ্রামারগুলির প্রোডাকশন সার্ভারগুলিতে অ্যাক্সেস নেই। তবে কারও অ্যাক্সেস থাকতে হবে। এর আশেপাশে কোনও উপায় নেই। এবং সর্বদা এমন সুযোগ থাকে যে কেউ পাগল হতে পারে এবং তাদের অ্যাক্সেসের অপব্যবহার করতে পারে।

যে সমস্ত ডেটা হ্যাশ / সল্ট করা হয়েছে তা তাত্ত্বিকভাবে সুরক্ষিত এমনকি এমন লোকদের থেকেও এটি দেখার সম্পূর্ণ অ্যাক্সেস রয়েছে। তবে বেশিরভাগ ডেটা হ্যাশিংয়ের জন্য উপযুক্ত নয়।