Archives de catégorie : Ebauches

Datacenter

Une donnée informatique, ça brûle. Un Datacenter, ça se répare, ça se protège, ça se bichonne. Le « groupe de réflexion » Uptime Institute a été créé à l’initiative de plusieurs acteurs du secteur des centres de données (gérants, entreprise de conception, de construction de centre de données). Cette organisation est notamment connue pour avoir introduit le système de classification des centres de données en fonction de leur niveau de fiabilité (« Tiers I à IV »).

Continuer la lecture →

Chiffrement ubiquitaire

Qu’est-ce que c’est encore que cette bestiole ? On n’arrête pas les nouveautés, qu’on souhaite pour le meilleur mais qui aboutissent en sécurité souvent sur le pire, comme SGX. Sans compter les nouveautés qui n’inventent rien, à part l’inculture de leurs promoteurs qui ne savent pas que la solution en question a déjà été inventée. Regardons donc.

Continuer la lecture →

Echappement

Technique de substitution d’un caractère interprétable (par un navigateur, un serveur web) par un équivalent sans signification.

Active Directory

Un Active Directory est un annuaire de type LDAP pour Windows, avec deux fonctions principales : identifier des façon unique les ressources (matérielles ou humaines) et les authentifier. Mais ça n’est pas tout, Active Directory Domain Services permet également :

  • L’installation, la configuration et la mise à jour d’applications ;
  • La gestion de l’infrastructure de sécurité ;
  • L’activation du service d’accès à distance et de DirectAccess ;
  • L’émission et la gestion de certificats numériques.
Continuer la lecture →

DSP2

La DSP2 est l’exemple de directive idiote, ma fichue, et mal conçue. Elle est censée apporter de la sécurité dans les moyens de paiement informatiques bancaires, et favoriser l’éclosion de fintechs.

Or cette directive semble vraiment avoir été écrite par des gens qui n’y connaissent rien à la sécurité informatique, rien aux banques, et rien aux startups.

Continuer la lecture →

Technologie humaine

Facebook n’a pas aimé le documentaire de Netflix sur son réseau social (the Social Network), et le fait savoir. Les réseaux sociaux sont une plaie. Certes ils ont des vertus mais conduisent aussi à de trop nombreux vices, en particulier lorsqu’on les associe au politiquement correct, une plaie venue des universités américaines. Et pour mieux combattre son ennemi, il faut le connaître.

Continuer la lecture →

API

Ce que c’est…

https://app.pluralsight.com/library/courses/designing-restful-web-apis/table-of-contents

https://dzone.com/articles/top-10-api-security-threats-every-api-team-should

Attaques

Selon l’OWASP (et JDN)

  • Vérifier les autorisations au niveau de chaque objet
  • Soigner l’authentification utilisateur
  • Sélectionner les données à afficher
  • Limiter les ressources et le débit
  • Modérer la granularité des accès
  • Eviter les affectations de masse
  • Vérifier la configuration de la sécurité
  • Anticiper les injections de code
  • Bien gérer et inventorier ses actifs
  • Mettre en place une gestion des logs efficace

REST ou RESTful ?

Selon ChatGPT, les termes « API REST » et « RESTful » sont souvent utilisés de manière interchangeable, mais il y a une différence subtile entre les deux.

Une API REST (Representational State Transfer) est une interface de programmation d’application qui suit les principes de l’architecture REST. Elle utilise des méthodes HTTP telles que GET, POST, PUT et DELETE pour effectuer des opérations sur des ressources identifiées par des URL.

D’un autre côté, « RESTful » est un terme utilisé pour décrire une API qui est conçue conformément aux principes de REST, qui incluent notamment l’utilisation de verbes HTTP, l’utilisation d’URLs pour identifier les ressources, l’utilisation de formats de données standardisés (tels que JSON ou XML), et l’indépendance de l’état du serveur.

En résumé, une API REST est une API qui suit l’architecture REST, tandis qu’une API RESTful est une API qui suit les principes de REST de manière stricte et cohérente.

Ressources

A voir : problématiques de sécurisation d’API OIDC, OAuth2

Sécurisation