Security tutorial - IT technology blog
Posted inSecurity

Gia cố bảo mật Nginx với Content Security Policy (CSP) và HTTP Security Headers

Khi một lỗ hổng chèn mã chưa được xác thực gây ra sự cố khẩn cấp lúc 2 giờ sáng, việc thiếu các HTTP header đã khiến trình duyệt của khách hàng hoàn toàn mất phòng thủ. Dưới đây là cách cấu hình Content Security Policy (CSP), X-Frame-Options và HSTS trực tiếp trên Nginx để ngăn chặn triệt để XSS và clickjacking.
Security tutorial - IT technology blog
Posted inSecurity

Threat Modeling với STRIDE: Phân Tích Rủi Ro Bảo Mật Trước Khi Viết Một Dòng Code

STRIDE threat modeling giúp bạn xác định rủi ro bảo mật trong web app và API trước khi viết code — phát hiện lỗ hổng xác thực, leo thang đặc quyền và rò rỉ dữ liệu ngay từ giai đoạn thiết kế. Hướng dẫn này đi qua các công cụ thực tế như OWASP Threat Dragon và pytm, với ví dụ cụ thể cho kiến trúc REST API.
Security tutorial - IT technology blog
Posted inSecurity

Bảo mật OAuth 2.0 và OpenID Connect: Các Lỗ Hổng Phổ Biến và Cách Triển Khai Đúng

OAuth 2.0 và OpenID Connect là nền tảng của xác thực hiện đại, nhưng cấu hình sai rất phổ biến và tốn kém. Hướng dẫn này đề cập đến các lỗ hổng thường gặp nhất — thiếu tham số state, open redirect, xác thực token không đúng — và hướng dẫn bạn cách triển khai từng bước đúng cách với ví dụ Python thực tế.