Тема
Автоматизация безопасности
В фасете «Тема» значение «Автоматизация безопасности» объединяет статьи по конкретной теме или предмету наблюдения. Здесь собраны связанные публикации, источники, участники рынка и последствия для инфраструктуры. Страница помогает сравнить повторяющиеся сигналы, затронутые организации, непрерывность услуг, закупки, конкуренцию, соблюдение требований и вопросы стратегического планирования, а также понять, почему тема важна операторам, заказчикам, инвесторам и специалистам по политике.
IETF
JOSE ведёт два алгоритма к устареванию, но не задаёт срок локальным исключениям
Рабочая группа JOSE попросила IESG опубликовать проект о переводе `none` и `RSA1_5` в категорию Deprecated. Документ разумно отделяет безопасное общее правило от узкого решения приложения. Однако разрешённому исключению всё ещё не назначены срок и доказательство завершения.
Досье
Дата вывода HTTP-ресурса не заменяет план миграции клиента
Старый ресурс по-прежнему отвечает успешно, но в ответе уже появилась дата его вывода из рекомендованного использования. Она сообщает о намерении поставщика, однако не называет владельцев клиентов, не проверяет замену и не дает права отключить прежний адрес.
Досье
IAB продлил сбор данных о постквантовой аутентификации, но не их полномочия
Дополнительная неделя может привести на семинар больше операторского опыта. Чтобы опыт не превратился в безымянную отраслевую аксиому, измерение, представленный текст, режим раскрытия, итоговый доклад и работающая система должны сохранить отдельные квитанции.
История
Читаемо без парсера не означало безопасно для обработки: RFC 1874
Один и тот же файл мог выглядеть обычными строками и оставаться программой действий для более способного получателя. RFC 1874 в 1995 году назвал `text/sgml` тот случай, когда человек понимал общий смысл без SGML-системы. Но спокойное отображение было лишь запасным маршрутом.…
Досье
Файлу security.txt нужна квитанция о работоспособности канала раскрытия
Будущая дата `Expires` подтверждает лишь заявленный срок годности опубликованных координат. Она не сообщает, принимает ли ящик внешнюю почту, сохраняет ли форма обращение и назначен ли человек, отвечающий за очередь.
Досье
Прокси сообщил: «зашифровано». Заголовки всё равно требовали доказательств: RFC 9788
Если промежуточный сервис снимает криптографические оболочки и передаёт клиенту готовый статус, одна поддельная строка может превратить интерфейс безопасности в слух. RFC 9788 показывает, какие факты нельзя сжимать: структуру, намерение автора, внешнее раскрытие, привязку…
IETF
VIRP выносит право записи за пределы шлюза, но одноразовый допуск ещё не реализован
Редакция 07 VIRP переносит реальный рычаг в автоматизированном управлении сетью: у шлюза остаётся постоянная учётная запись только для чтения, а решение о записи принимает отдельная служба, которую шлюз не контролирует. Это уменьшает полномочия захваченного шлюза. Однако…
Досье
Заявлению о соответствии OSPS Baseline нужны версия, уровень и дата
Отметка «соответствует OSPS» удобно помещается в реестре поставщиков, но сама по себе почти ничего не фиксирует. OSPS Baseline выпускается версиями, распределяет требования по зрелости проекта и считает соответствие состоянием на определённый момент.
История
Пакет прощания попросил всех забыть, но не доказал удаление: RFC 1868
У старой записи не было признака того, что мир вокруг неё уже изменился. Компьютер дозвона мог уйти с одного сервера связи и появиться за другим, а соседи по локальной сети продолжали отправлять кадры прежнему посреднику. RFC 1868 предложил в 1995 году короткое отрицательное…
Лидеры
Daniel Fett и поле issuer, которое назвало сервер, но не доказало токен
OAuth callback может содержать правильный `state` и настоящий код авторизации, но всё равно вести к чужому серверу. RFC 9207 добавляет одну небольшую проверку до утечки: совпадает ли issuer в ответе с тем issuer, который клиент сохранил при запуске потока?
Досье
Ключ был известен, но доверять ему было рано
Самоподписанное DNS-обновление приносит родителю новый ключ и одновременно требует удалить старый. Подпись доказывает владение новым закрытым ключом, но не право менять делегирование дочерней зоны. К объявленному окончанию последнего обсуждения DNSOP 7 сентября именно переход от…
Досье
Аудит УЦ — не вывод о выпуске сертификата
Годовой отчёт об уверенности может показать, что средства контроля удостоверяющего центра исследовались в ограниченный период. Сам по себе он не отвечает на более узкий и важный для полагающейся стороны вопрос: почему именно этот сертификат, для этого имени и этого ключа, был…
История
Сообщение дошло до системы партнёра. Сделка ещё не была принята: RFC 1865
У почтовой доставки есть финальная точка, но она не обязана быть финальной точкой сделки. В RFC 1865 выделенное SMTP-соединение доставляло EDI прямо в систему торгового партнёра, и такая доставка называлась гарантированной. Это обещание относилось к каналу. За ним оставались…
Досье
Триггер workflow_run GitHub Actions — не вывод о доверии к артефакту
Триггер `workflow_run` в GitHub Actions может отделить предшествующую проверку от последующего, более привилегированного процесса. Но он не доказывает, что предшествующий результат, полученный затем артефакт или дальнейшая операция над целью заслуживают доверия.
История
Короткий таймер чаще побеждал. Гонку всё равно принимал клиент: RFC 1863
Три маршрутных сервера одновременно замечают нового клиента, а в полученных друг от друга списках его ещё нет. RFC 1863 не называл это решёнными выборами. Менее загруженный сервер ждал меньше и затем проверял состояние ещё раз. Он лишь с большей вероятностью начинал первым.…
Досье
Токен OIDC GitHub Actions — не вывод об облачной авторизации
Токен OIDC от GitHub Actions может сообщить внешнему провайдеру ограниченный контекст workflow. Сам по себе он не подтверждает совпадение облачной политики доверия, выдачу сессии, разрешение операции с ресурсом или изменение целевой среды.
Досье
Последняя точка исчезла — граница доверия сдвинулась
Для DNS `example.co.uk` и `example.co.uk.` могут вести к одному узлу. Для приложения эти две записи способны открыть разные контуры безопасности. В день завершения последнего обсуждения DNSOP свежая уязвимость curl превращает мелкую пунктуацию в вопрос порядка: нормализуется ли…
Досье
Группа конкурентного выполнения GitHub Actions — не вывод о последовательности развертываний
Группа конкурентного выполнения GitHub Actions способна сократить конфликты между именованными заданиями и запусками workflow. Но сама по себе она не устанавливает порядок всех существенных действий на целевой системе и не доказывает их результат.
История
Индекс мог отклонить вопрос до открытия документа: RFC 1862
Пустая выдача ничего не говорит сама по себе. Документа может не быть, индекс мог его не охватить, обновление могло запоздать, а политика — запретить даже признание его существования. На семинаре IAB 1994 года эту неоднозначность рассматривали как часть архитектуры. RFC 1862…
Досье
Метка времени стала точнее. Ассоциация всё равно должна была сохраниться: RFC 9769
Самый точный момент отправки становится известен, когда пакет уже ушёл. RFC 9769 приносит это запоздавшее знание в следующем ответе — и требует сохранить связь между двумя обменами.