Articles

Tutoriel OIDC pour sécuriser votre CI/CD

Apprenez à sécuriser votre CI/CD avec ce tutoriel OIDC ! Découvrez comment utiliser ce protocole pour protéger votre système de livraison continue.

Commençons par une histoire : Avez-vous entendu parler de la breach de CircleCI ? Non, pas celle où ils ont accidentellement divulgué des informations d’identification de clients il y a quelques années. Cette fois, c’est un peu plus sérieux.

The incident highlights the importance of testing security measures regularly. It’s not enough to just set up security measures and forget about them. Companies need to regularly test their security measures to make sure they are up-to-date and effective.

Commençons par une histoire : Avez-vous entendu parler de la violation de CircleCI ? Non, pas celle où ils ont accidentellement divulgué des informations d’identification de certains clients il y a quelques années. Cette fois, c’est un peu plus sérieux.

Il semble que des individus non autorisés ont pu accéder aux systèmes de CircleCI, compromettant les secrets stockés dans CircleCI. CircleCI a conseillé aux utilisateurs de faire tourner « tous les secrets » stockés dans CircleCI, y compris ceux stockés dans les variables d’environnement ou les contextes du projet.

L’incident met en évidence l’importance des tests de sécurité réguliers. Il ne suffit pas de mettre en place des mesures de sécurité et de les oublier. Les entreprises doivent régulièrement tester leurs mesures de sécurité pour s’assurer qu’elles sont à jour et efficaces.

Source de l’article sur DZONE

Augmenter la sécurité AD avec MFA en local.

Augmenter la sécurité des réseaux locaux avec l’authentification à deux facteurs (MFA) est une solution efficace pour protéger les données sensibles. Découvrez comment mettre en place cette solution sur votre Active Directory !

Dans l’ère numérique d’aujourd’hui, le pilier de l’infrastructure informatique de toute organisation est son annuaire Active Directory (AD). Ce service d’annuaire centralisé gère l’authentification et l’autorisation, ce qui le rend essentiel pour protéger les données sensibles et maintenir l’intégrité du système.

To further enhance security, organizations are increasingly turning to database security best practices. This includes implementing robust access control measures, encrypting data, and regularly auditing and monitoring databases for suspicious activity.

Dans l’ère numérique d’aujourd’hui, le pilier de l’infrastructure informatique de toute organisation est son Active Directory (AD). Ce service de répertoire centralisé gère l’authentification et l’autorisation, ce qui est essentiel pour protéger les données sensibles et maintenir l’intégrité du système.

Cependant, à mesure que le paysage technologique évolue, les méthodes employées par les cybercriminels pour contourner les mesures de sécurité évoluent également. C’est là que l’authentification à facteurs multiples (MFA) entre en jeu, se présentant comme une défense redoutable contre l’accès non autorisé et les violations de données.

Pour renforcer davantage la sécurité, les organisations se tournent de plus en plus vers les meilleures pratiques de sécurité des bases de données. Cela inclut la mise en œuvre de mesures de contrôle d’accès robustes, le chiffrement des données et l’audit et le suivi réguliers des bases de données pour détecter toute activité suspecte.

Source de l’article sur DZONE

Ne Pas Utiliser de Credentiels dans une CI/CD Pipeline

Les pipelines CI/CD sont des outils puissants, mais il est important de ne pas utiliser de credentiels sensibles pour éviter les risques de sécurité.

Comment Donner un Accès Sécurisé à des Services Tiers Sans Utiliser de Clés Secrètes

OpenID Connect (OIDC) is a protocol that allows users to authenticate themselves with an external identity provider, such as Auth0 or Okta. It works by exchanging an access token between the identity provider and the application. This token is cryptographically signed and contains a set of claims about the user, such as their name, email, and other attributes. The application can then use this token to authenticate the user and grant them access to resources.

En tant qu’utilisateur qui construit et maintient des infrastructures cloud, j’ai toujours été méfiant du point de vue de la sécurité lorsque je donne un accès à des services tiers, tels que les plateformes CI/CD. Tous les fournisseurs de services prétendent prendre des précautions strictes et mettre en œuvre des processus infaillibles, mais les vulnérabilités sont toujours exploitées et les erreurs arrivent. Par conséquent, ma préférence est d’utiliser des outils qui peuvent être hébergés en interne. Cependant, je ne peux pas toujours avoir le choix si l’organisation est déjà engagée auprès d’un partenaire externe, tel que Bitbucket Pipelines ou GitHub Actions. Dans ce cas, pour appliquer un IaC Terraform ou déployer un groupe d’échelle automatique, il n’y a pas d’autre choix que de fournir à l’outil externe une clé secrète API, n’est-ce pas ? Faux ! Avec la prolifération de OpenID Connect, il est possible de donner aux plates-formes tierces un accès basé sur des jetons qui n’exige pas de clés secrètes.

Le problème avec une clé secrète est qu’il y a toujours une chance qu’elle soit divulguée. Le risque augmente plus elle est partagée, ce qui se produit lorsque des employés quittent et que de nouveaux arrivent. L’un d’entre eux peut le divulguer intentionnellement ou ils peuvent être victimes d’une hameçonnage ou d’une violation. Lorsqu’une clé secrète est stockée dans un système externe, cela introduit un tout nouvel ensemble de vecteurs de fuite potentiels. Atténuer le risque implique de changer périodiquement les informations d’identification, ce qui est une tâche qui n’ajoute pas de valeur perceptible.

OpenID Connect (OIDC) est un protocole qui permet aux utilisateurs de s’authentifier auprès d’un fournisseur d’identité externe, tel qu’Auth0 ou Okta. Il fonctionne en échangeant un jeton d’accès entre le fournisseur d’identité et l’application. Ce jeton est signé de manière cryptographique et contient un ensemble de revendications sur l’utilisateur, telles que son nom, son adresse électronique et d’autres attributs. L’application peut ensuite utiliser ce jeton pour authentifier l’utilisateur et lui donner accès aux ressources.

Les jetons OIDC sont une alternative intéressante aux clés secrètes pour donner aux plates-formes tierces un accès limité aux ressources cloud. Les jetons sont générés par le fournisseur d’identité et peuvent être limités à une durée de vie spécifique et à un ensemble de revendications spécifiques. De plus, ils peuvent être révoqués à tout moment par le fournisseur d’identité si nécessaire. Les jetons OIDC sont donc une solution plus sûre et plus flexible pour donner aux plates-formes tierces un accè

Source de l’article sur DZONE

15 Meilleures Pratiques de Sécurité API pour Développeurs

Les développeurs doivent connaître les 15 meilleures pratiques de sécurité API pour protéger leurs applications et leurs données. Apprenez-en plus sur ces pratiques essentielles !

Pourquoi les développeurs devraient-ils prioriser la sécurité des API ?

1. Utiliser une base de données sécurisée: Les bases de données sont un élément essentiel des API, et elles doivent être sécurisées pour éviter les attaques. Les développeurs doivent utiliser des bases de données sécurisées et configurer des contrôles d’accès pour limiter l’accès aux données sensibles.

2. Authentification forte: Les API doivent utiliser une authentification forte pour s’assurer que seuls les utilisateurs autorisés peuvent accéder aux données et aux fonctionnalités. Les développeurs doivent utiliser des méthodes d’authentification robustes, telles que l’authentification à deux facteurs, et mettre en place des contrôles d’accès pour limiter l’accès aux API.

3. Utiliser des mots de passe complexes: Les mots de passe complexes sont essentiels pour protéger les API contre les attaques par force brute. Les développeurs doivent exiger des mots de passe complexes et les renouveler régulièrement pour réduire le risque de compromission.

En tant qu’informaticien enthousiaste, je comprends l’importance de la sécurité des API et je m’efforce d’appliquer ces meilleures pratiques pour protéger mes applications et mes données. La sécurité des API est essentielle pour protéger les données sensibles et les ressources des organisations, et je suis convaincu que ces pratiques peuvent aider à réduire le risque de compromission.

Source de l’article sur DZONE

Réduire les incidents de sécurité: implémenter un scanner d'images Docker

Implémenter un scanner d’images Docker peut aider à réduire les incidents de sécurité et à assurer une meilleure protection des données.

Est-ce que vous utilisez Docker pour déployer vos applications ? Si c’est le cas, vous n’êtes pas seul. L’utilisation de Docker a connu une croissance fulgurante ces dernières années. Bien qu’il offre de nombreux avantages, il introduit également de nouveaux risques de sécurité qui doivent être pris en compte.

Mais, pourquoi est-il si important de réduire les incidents de sécurité ? C’est simple : le coût d’une violation de sécurité peut être dévastateur. De la perte de confiance des clients aux pertes financières, les conséquences d’un incident de sécurité peuvent être graves. C’est pourquoi il est essentiel de prendre des mesures pour les empêcher de se produire en premier lieu.

Pourquoi est-il si important de réduire les incidents de sécurité ?

Avec l’essor de la technologie, le monde des applications informatiques a connu une croissance considérable. L’utilisation de Docker est devenue très populaire ces dernières années, et de nombreuses entreprises l’utilisent pour déployer leurs applications. Bien que cette technologie offre de nombreux avantages, elle introduit également de nouveaux risques de sécurité qui doivent être pris en compte.

La réduction des incidents de sécurité est très importante car les conséquences d’une violation peuvent être catastrophiques. En effet, une violation de sécurité peut entraîner une perte de confiance des clients, des pertes financières et d’autres conséquences négatives. C’est pourquoi il est essentiel de prendre des mesures pour prévenir ces incidents.

En tant que scientifique informatique enthousiaste, je recommande vivement l’utilisation de tests pour garantir la sécurité des applications Docker. Les tests peuvent être effectués à différents stades du développement logiciel, notamment lors de la conception, du codage et du déploiement. Les tests peuvent aider à détecter et à corriger les vulnérabilités potentielles avant qu’elles ne soient exploitées par des cybercriminels. Les tests peuvent également aider à vérifier que le code est conforme aux normes de sécurité et à identifier les failles de sécurité qui peuvent être corrigées avant le déploiement.

En outre, l’utilisation d’outils d’analyse de sécurité peut aider à détecter les vulnérabilités et à fournir des recommandations sur la façon de les corriger. Ces outils peuvent également aider à surveiller les activités des utilisateurs et à détecter les comportements suspects. Enfin, il est important de mettre en œuvre des stratégies de sécurité appropriées pour protéger les applications contre les attaques.

Pour résumer, il est essentiel de prendre des mesures pour réduire les incidents de sécurité liés à l’utilisation de Docker. L’utilisation de tests et d’outils d’analyse de sécurité peut aider à détecter et à corriger les vulnérabilités et à mettre en œuvre des stratégies de sécurité appropriées pour protéger les applications contre les attaques. En tant que scientifique informatique enthousiaste, je recommande vivement l’utilisation de tests pour garantir la sécurité des applications Docker.

Source de l’article sur DZONE

Maps are a fascinating method for delivering content. At their best, they can create an intuitive way of presenting information and interacting with it. This is the advantage that digital maps, through mobile apps and websites, have over print maps and images where no interactivity is possible.

But it’s important to understand that more data ≠ better experiences. We all now have so much data available to us through multiple services that, arguably, the greatest challenge isn’t sourcing information but filtering it out. We can only handle so much information input before we become overloaded. This issue risks being omnipresent with maps. There are so many potential points of interest on a map that it’s essential to be clear about what needs to be exposed to users.

Also, UX design, map design, and user interface are all critical. While maps can be a powerful way of drawing people in, if end-users feel that you didn’t even consider the visual design, they’ll ‘bounce off’ your site or app in moments.

Common Use Cases

When are maps useful, and what problems do they solve? Let’s dive right into the most common use cases for maps used in web design.

Navigation and Direction

Like Google Maps shows, navigation and direction are arguably the classic case study for interactive maps. You are in one place and need to get to another. You can enter your destination, your current location, and the map will present suggestions for getting there. You can select the method of travel and adjust desired departure or arrival times. But you need to understand first what functionality your users need. How these options are exposed to users is a critical piece of UX design.

Also, if users are searching for options such as somewhere to eat, it’s not so straightforward. Then, how your map handles panning in real-time as users swipe around a city is going to be a big issue.

Showing Relationships and Trends Geographically

This is something that you’ll see in every election in any western country. We’re all used to seeing maps that give us a state-of-play for which state or seat is held by which party. Then, we might see projections based on voter intentions and projected voting swings deriving from that. Then, exit poll data can be projected with the map updated on an ongoing basis until the final result is confirmed.

The capability to do this is essential because if a static map were used, it’d be out of date any time a new poll was released. Also, voting intentions can change over a campaign, so such maps need to be dynamic. Of course, such maps are only as accurate as the available data, as the US 2016 election map showed.

Show Points of Interest

As mentioned previously, there’s a lot of data that can be exposed to map users. However, that doesn’t automatically mean that it should be. Usability is key. For example, when you look at a map, you’ll typically first see key points of interest. Which points of interest are going to be presented to you can vary.

One variant is zoom level. If your map is currently showing an entire city, the level of detail the map presents is deliberately limited. You’ll see districts, large roads, or geographic features such as rivers. If more detailed information were presented, users on mobile devices, in particular, would be overwhelmed. Even at this level, you’ll notice typography differences. These can include the city name being in bold or the names of different areas in capital letters. So the level of detail is coupled with the scale of the map. Zooming in a few notches will expose significant points of interest, such as museums. Zooming in to specific districts will reveal restaurants, coffee shops, and universities. This visual hierarchy is a critical way of managing the exposed level of information.

But information is still being abstracted away. It’s not until you tap on the museum that you’ll see information on opening hours and busy times. This is also typically presented with user photos and reviews. Context is also taken into account, so you’ll start to see local hotels and restaurants. So it’s not just individual points of interest that are important, but the connections between them.

6 Tips For Improving Interactive Maps

What are the challenges of creating effective maps, and how do people address the data overload problem? We’ll answer this question and go over the must-know aspects of map creation.

1. Ensure Security and Brand Trust

GDPR or General Data Protection Regulation. This is a critically important European law that extends a wide range of legal protection to European citizens regarding personal data. It’s not possible here to cover the full extent of the law, but here are some quick key points:

  • Consent is required for the processing of personal data; it cannot be assumed
  • You need to have a retention policy for information that’s capable of identifying people

Be aware that the latter doesn’t just cover commercial purposes. Research students have to submit GDPR forms that address what kind of data they’re sourcing and how they’ll be retaining it.

But the most crucial context is commercial. If a business suffers a data breach, it can be fined up to 20 million euros or 4% of annual worldwide turnover in the preceding financial year, whichever is greater. Therefore, any business storing data that could identify their customers will need to assess risk and compliance. Remember: it’s 4% of worldwide turnover, not EU turnover.

Also, anything of your business that you expose to your customers or users is an extension of your brand. Therefore, you need to assess your maps for brand compliance too. If you have primary brand colors and your map doesn’t abide by them, that’s a very poor look. Source the color hex codes directly from your brand team and involve them in design.

2. Use the Appropriate Type of Map

It’s also important to consider what type of map is most appropriate for your use case. Think carefully about what your users need, what you’re trying to communicate, what information you need to present, and how best to present it.

For example, points of interest style maps in a tourist app will be way more helpful than heat maps: people want to know where something is, key data like opening hours, and how to get there. A heat map showing the number of visitors to each attraction or area of a city is unlikely to be useful to tourists. However, it could be useful to the attractions themselves to map their visitors by heat map over time. This could help larger museums chart which exhibits are most popular.

Transport for London is charting passenger movement on the London Underground by detecting when a device with Wi-Fi comes into range and then passes out of range. They’re using this to understand overall user journeys and movements within individual stations to better manage disruptions.

3. Avoid Pop-Ups

It should go without saying by now that auto pop-ups are despised. It doesn’t matter what they’re doing or what they’re offering; an unwanted pop-up can only get in the way. The level of impact is even greater on a phone where pop-ups take up even more screen space.

Given this, many users close them without even reading them. So if you’re using pop-ups, don’t kid yourself. You’re likely just irritating users and increasing the likelihood that they’ll ‘bounce off’ or uninstall.

4. Avoid Auto-Geolocation

Auto-geolocation sounds incredibly convenient but can result in some real problems. For example, if there are any bugs with auto-geolocation, you could get false results. If someone connects through public building Wi-Fi, you could get false results. If they’re connecting through a VPN then, unless you get the user’s IP address and check if it’s the exit portal of a VPN, you could get false results.

The problem is most significant with mobile maps. If a map user is looking at a points of interest map, they likely have a specific and immediate use. This means it’s in their best to get the most accurate results possible. So why not just ask them?

Precision and Accuracy

These terms have specific meanings in geolocation. ‘Precision’ is the exactness of the data. ‘Accuracy’ is how closely the information on a map matches the real world. So you want precision and accuracy to be spot on, or data risks losing value. This applies not just to the gathering of data but to the representation of it. For example, if you have street-level data but your maps don’t present individual streets, then any representation of data on that map is likely to have poor accuracy. That map might succeed in abstracting irrelevant information but presenting an imprecise and inaccurate view.

5. Avoid Map Legends as Much as Possible

In many cases, primarily points-of-interest maps, they’re just not needed anymore. An essential part of user experience design isn’t just visual hierarchy but information hierarchy. You can mouse over on a desktop or laptop to get the essentials of a location, e.g., the museum’s name and its opening hours. On a mobile device, you can tap on that location to get the essentials, and you can tap on another location to move on; you don’t even have to press back. Given that, a legend would get in the way. So this simple piece of information design solves information overload issues.

As with all rules, there are exceptions. A good one is a heat map where a density of what’s being measured needs to be communicated. It doesn’t matter what the data is; it just needs to be something where mapping provides greater insight, especially if it informs decision-making. Sales is an excellent example for a national or multinational company. Of course, weather forecasting can make use of literal heat maps.

6. Accessibility Compliance

Not everyone has perfect eyesight. Even if someone has excellent vision, they could still be colorblind (8% of men and 0.5% of women are). Given that, take the W3C’s accessibility standards into account and treat them as a baseline or minimum barrier to entry for compliance. You shouldn’t feel good about the possibility of excluding 8% of your potential audience or customers. Ensure you keep your UX designers involved and don’t shy away from creating senior-friendly web designs.

Put simply: imagine if you could appeal to a new demographic that’s not catered to. If your competitors ignore them, you could give them a real reason to choose you instead by taking some straightforward steps. If your competitors are catering to them, you also need to. If you don’t, you’re just giving potential customers a big reason to ignore you.

Conclusions

The key takeaway is that there’s far more to creating good maps than just good cartography. That can be critical, too, though this may vary depending on the use case.

This will be a team effort because your map will involve data sets, design decisions, and, yes, cartography. You’re going to need to involve brand and IT too. So think about design principles and development methodologies.

First and foremost, what are your users’ needs? If you haven’t done any user research or taken the time to understand the customer journey, are you adding anything or getting in the way? It’s easy to see the department that requested the map as stakeholders, but you should probably view your users as stakeholders too.

This sounds complex, but as you hopefully now appreciate, a map is probably more complicated than you thought.

 

Featured image via Pexels.

Source

The post The UX of Maps in Web Design first appeared on Webdesigner Depot.

Source de l’article sur Webdesignerdepot

The network model for security fails in the cloud. While the old on-prem model made sense in the earlier days of computing, the rapidly expanding suite of cloud providers, along with their infinite combinations of settings and services, now places an extraordinary burden on security teams to become cloud-centric. An enterprise that doesn’t fully understand its role in securing its data in the public cloud is taking unnecessary risks with its outdated security strategies.

In the traditional data center, the network provided a secure boundary for the organization. The network was carved up into zones and trusts were established within and between zones. Security architectures were established and tools deployed based on this strategy, which largely involved monitoring the traffic flows and enforcing controls where the zones met. But in the cloud, this approach is no longer relevant. Time and again, in breach after breach, headline after headline, the modern attack cycle, particularly in the cloud, starts with identity. Attackers seek access to the identity, then pivot between resources, discovering credentials and other identities that give them more and more access to get what they want.

Source de l’article sur DZONE

Marriott International has disclosed that the guest reservation database of its Starwood division has been breached, affecting as many as 500 million guests. The company has also confirmed that there has been unauthorized access to the Starwood network since 2014.

According to a report from the BBC, for roughly 327 million guests, the attacker was able to access personally identifiable information including a combination of name, address, phone number, email address, passport number, account information, date of birth, and gender. In some cases, the compromised records also included encrypted credit card information. The company is still trying to determine whether or not the encryption keys have also been stolen.

Source de l’article sur DZONE