Full Stack Python Security

Оглавление
Содержание
Предисловие
	Благодарности
	Об этой книге
	Для кого эта книга
	Структура книги
	О фрагментах кода
	Отзывы и пожелания
	Список опечаток
	Нарушение авторских прав
Об авторе
	Об иллюстрации на обложке
Глава 1. О защите в деталях
	1.1. Пространство для атаки
	1.2. Глубокая оборона
		1.2.1. Стандарты обеспечения защиты
		1.2.2. Проверенные приемы
		1.2.3. Основные принципы безопасности
	1.3. Инструменты
		1.3.1. Меньше слов, больше дела
	Итоги
Часть I. Основы криптографии
	Глава 2. Хеширование
		2.1. Что такое хеш-функция?
			Детерминированное поведение
			Хеши неизменной длины
			Лавинный эффект
			2.1.1. Свойства криптографических хеш-функций
				Вычислительно необратимые функции
				Сопротивление поиску коллизий
		2.2. Архетипичные персонажи
		2.3. Целостность данных
		2.4. Выбор криптографической хеш-функции
			2.4.1. Безопасные хеш-функции
				SHA-2
				SHA-3
				BLAKE2
			2.4.2. Небезопасные хеш-функции
				MD5
				SHA-1
		2.5. Криптографическое хеширование в Python
		2.6. Функции контрольного суммирования
		Итоги
	Глава 3. Хеш-функции с ключом
		3.1. Подлинность данных
			3.1.1. Генерация ключа
				Случайные числа
				Кодовые фразы
			3.1.2. Хеширование с ключом
		3.2. HMAC-функции
			3.2.1. Проверка подлинности данных между системами
		3.3. Атака по времени
		Итоги
	Глава 4. Симметричное шифрование
		4.1. Что такое шифрование?
			4.1.1. Управление пакетами
		4.2. Пакет cryptography
			4.2.1. «Взрывчатые вещества»
			4.2.2. «Готовые рецепты»
			4.2.3. Смена ключа
		4.3. Симметричное шифрование
			4.3.1. Блочные шифры
				Triple DES
				Blowfish
				Twofish
				Advanced Encryption Standard
			4.3.2. Потоковые шифры
			4.3.3. Режимы шифрования
				Режим электронной кодовой книги
				Режим сцепления блоков шифротекста
		Итоги
	Глава 5. Асимметричное шифрование
		5.1. Загвоздка с передачей ключей
		5.2. Асимметричное шифрование
			5.2.1. RSA
		5.3. Неопровержимость деяния
			5.3.1. Цифровые подписи
			5.3.2. Подписание данных криптосистемой RSA
			5.3.3. Проверка подписи, созданной криптосистемой RSA
			5.3.4. Подписание данных на базе эллиптических кривых
		Итоги
	Глава 6. Transport Layer Security
		6.1. SSL? TLS? HTTPS?
		6.2. Атака «человек посередине»
		6.3. Процедура подтверждения связи
			6.3.1. Переговоры о наборе шифров
			6.3.2. Обмен ключами
				Протокол Диффи–Хеллмана
				Асинхронное шифрование
			6.3.3. Проверка подлинности сервера
				Сертификат открытого ключа
		6.4. Общаемся по HTTP с Django
			6.4.1. Параметр DEBUG
		6.5. Общаемся по HTTPS с Gunicorn
			6.5.1. Самозаверенные сертификаты
			6.5.2. Заголовок ответа Strict-Transport-Security
			6.5.3. Переадресация на HTTPS
		6.6. Пакет requests и TLS
		6.7. Соединение с БД через TLS
		6.8. Электронная почта через TLS
			6.8.1. Режим «только TLS»
			6.8.2. Проверка подлинности почтового клиента
			6.8.3. Данные для доступа к SMTP-серверу
		Итоги
Часть II. Проверка личности и предоставление прав
	Глава 7. Сеанс HTTP
		7.1. Что такое сеанс HTTP?
		7.2. HTTP cookie
			7.2.1. Атрибут Secure
			7.2.2. Атрибут Domain
			7.2.3. Атрибут Max-Age
			7.2.4. Сеанс, пока запущен браузер
			7.2.5. Установка cookie в программном коде
		7.3. Параметры сеанса
			7.3.1. Упаковщик сеанса
			7.3.2. Механизм на основе кеша
				Кеш с Memcached под капотом
				Кеш с базой данных под капотом
				Куда еще можно складывать кеш
			7.3.3. Механизм на основе кеша и базы данных
			7.3.4. Механизм на основе базы данных
			7.3.5. Механизм на основе файлов
			7.3.6. Механизм на основе cookie
				Настройка SECRET_KEY
				Ограничение на длину cookie
				Возможность прочесть параметры сеанса
				Атака «попугай»
				Атака удаленного исполнения кода
		Итоги
	Глава 8. Проверка личности
		8.1. Регистрация пользователя
			8.1.1. Шаблоны
			8.1.2. Боб заводит учетную запись
		8.2. Проверка личности
			8.2.1. Встроенные представления
			8.2.2. Создание приложения Django
			8.2.3. Боб входит и выходит
				Выход из учетной записи
				Многофакторная проверка личности
		8.3. Просим представиться загодя
		8.4. Тестируем проверку личности и скрытое за ней
		Итоги
	Глава 9. Пользовательские пароли
		9.1. Сценарий смены пароля
			9.1.1. Собственное средство проверки пароля
		9.2. Хранение паролей
			Хранение паролей открытым текстом
			9.2.1. Засолка
			9.2.2. Функции формирования ключа
		9.3. Настройка хеширования паролей
			9.3.1. Встроенные средства хеширования паролей
			9.3.2. Собственное средство хеширования
			9.3.3. Хеширование паролей через Argon2
			9.3.4. Смена средства хеширования
		9.4. Сценарий восстановления пароля
		Итоги
	Глава 10. Авторизация
		10.1. Авторизация на уровне приложения
			10.1.1. Разрешения
			10.1.2. Администрирование пользователей и групп
		10.2. Принудительная авторизация
			10.2.1. Сложный низкоуровневый путь
			10.2.2. Простой способ высокого уровня
			10.2.3. Отображение по условию
			10.2.4. Тестирование авторизации
		10.3. Антишаблоны и проверенные приемы
		Итоги
	Глава 11. OAuth 2
		11.1. Типы авторизации
			11.1.1. Процесс предоставления кода авторизации
				Запрос авторизации
				Предоставление авторизации
				Обмен токенами
				Доступ к защищенным ресурсам
		11.2. Боб авторизует Чарли
			11.2.1. Запрос авторизации
			12.2.2. Предоставление авторизации
			11.2.3. Обмен токенами
			11.2.4. Доступ к защищенным ресурсам
				Блокировка Мэллори
		11.3. Django OAuth Toolkit
			11.3.1. Обязанности сервера авторизации
				Определение области действия
				Аутентификация владельцев ресурсов
				Генерирование URI перенаправления
				Управление кодами авторизации
			11.3.2. Обязанности сервера ресурсов
				Управление токенами доступа
				Обслуживание защищенных ресурсов
				Ограничение области действия
				Представления на основе функций
		11.4. requests-oauthlib
			11.4.1. Обязанности клиента OAuth
				Отзыв токенов
		Итоги
Часть III. Противостояние атакам
	Глава 12. Работа с операционной системой
		12.1. Авторизация на уровне файловой системы
			12.1.1. Определение разрешений
			12.1.2. Работа с временными файлами
			12.1.3. Работа с разрешениями файловой системы
		12.2. Запуск внешних выполняемых файлов
			12.2.1. Решение задач с помощью внутренних API
			12.2.2. Использование модуля subprocess
		Итоги
	Глава 13. Никогда не доверяйте вводу
		13.1. Управление пакетами с помощью Pipenv
		13.2. Удаленное выполнение кода YAML
		13.3. Расширение сущностей XML
			13.3.1. Атака квадратичного взрыва
			13.3.2. Атака «миллиард насмешек»
		13.4. Отказ в обслуживании
		13.5. Атаки с использованием заголовка Host
		13.6. Атаки с непроверенной переадресацией
		13.7. Внедрение SQL
			13.7.1. Обычные SQL-запросы
			13.7.2. Запросы на подключение к базе данных
		Итоги
	Глава 14. Атаки методом межсайтового скриптинга
		14.1. Что такое XSS?
			14.1.1. Хранимый XSS
			14.1.2. Отраженный XSS
			14.1.3. XSS на основе DOM
		14.2. Проверка ввода
			14.2.1. Проверка формы Django
		14.3. Экранирование вывода
			14.3.1. Встроенные утилиты отображения
			14.3.2. Заключение атрибутов HTML в кавычки
		14.4. Заголовки HTTP-ответа
			14.4.1. Отключение доступа к cookie из JavaScript
			14.4.2. Отключение анализа типа MIME
			14.4.3. Заголовок X-XSS-Protection
		Итоги
	Глава 15. Политики защиты содержимого
		15.1. Конструирование политик защиты содержимого
			15.1.1. Директивы извлечения
				Директива default-src
				Директива script-src
				Директива style-src
				Директива img-src
			15.1.2. Директивы навигации и документов
		15.2. Развертывание политики с помощью django-csp
		15.3. Использование индивидуальных политик
		15.4. Отчеты о нарушениях CSP
		15.5. CSP Level 3
		Итоги
	Глава 16. Подделка межсайтовых запросов
		16.1. Что такое подделка запроса?
		16.2. Управление идентификатором сеанса
		16.3. Соглашения об управлении состоянием
			16.3.1. Проверка метода HTTP
		16.4. Проверка заголовка Referer
			16.4.1. Заголовок ответа Referrer-Policy
		16.5. Токены CSRF
			16.5.1. POST-запросы
			16.5.2. Другие небезопасные методы запроса
		Итоги
	Глава 17. Совместное использование ресурсов между разными источниками
		17.1. Политика одного источника
		17.2. Простые запросы CORS
			17.2.1. Асинхронные запросы между источниками
		17.3. Реализация CORS с django-cors-headers
			17.3.1. Настройка Access-Control-Allow-Origin
		17.4. Предварительные запросы CORS
			17.4.1. Отправка предварительного запроса
			17.4.2. Отправка ответа на предварительный запрос
		17.5. Отправка cookie между источниками
		17.6. Устойчивость к CORS и CSRF
		Итоги
	Глава 18. Кликджекинг
		18.1. Заголовок X-Frame-Options
			18.1.1. Индивидуализация ответов
		18.2. Заголовок Content-Security-Policy
			18.2.1. X-Frame-Options и CSP
		18.3. Идите в ногу с Мэллори
		Итоги
Предметный указатель