Questa applicazione di dating ha sbagliato tutto

Guarda su YouTube → 16:08 23 maggio 2025

Descrizione

Articolo letto: https://alexschapiro.com/blog/security/vulnerability/2025/04/21/startups-need-to-take-security-seriously Vuoi fare lezioni private? Scrivimi i tuoi bisogni! - https://esadecimale.it/contact.html I miei progetti: - https://esadecimale.it - https://hexdump.sh Per supportare il mio lavoro: - https://patreon.com/hexdump - https://buymeacoffee.com/hexdump

Commenti 6

I commenti vengono da YouTube e sono aggiornati periodicamente.

@AnomaliA-ty2si 23 maggio 2025

Video e articolo molto interessanti, che mettono in luce un problema enorme ,un problema che purtroppo rischiamo di vedere sempre più spesso, a causa di persone convinte di essere esperte solo perché hanno scoperto che oggi è possibile creare app e programmi delegando tutto alle varie intelligenze artificiali o a tool automatici. Non sono contrario all'uso di questi strumenti: il supporto dell’IA o delle piattaforme automatizzate può essere utilissimo, ma solo se sai davvero cosa stai facendo e comprendi a fondo cosa stai costruendo. Ciò che mi lascia perplesso è un altro aspetto: anche se non conosco perfettamente le procedure per pubblicare app su App Store, dall’articolo si capisce che l’app era effettivamente disponibile sulla piattaforma di Apple. Ed è proprio questa la parte più preoccupante: come è possibile che un'app così mal realizzata, priva di controlli di sicurezza basilari, sia riuscita ad arrivare sull’App Store? Com'è possibile che un colosso come Apple permetta a sviluppatori incompetenti di distribuire pubblicamente app che sono veri e propri colabrodi di dati personali?
@sourchord 23 maggio 2025

Video interessantissimo. Mi piacerebbe vederne altri così 💪
@bypit9694 23 maggio 2025

Mah il check otp lo fai lato server, che senso ha includere l'otp nella risposta. Anche a livello di codice come ha potuto finire nella risposta dovresti avere classi separate per questi compiti. Mi sa che un gran pasticcio quella app. Interessante l'analisi.
3 risposte
1. @Ak1r4Yuk1 23 maggio 2025 1
  
  Perché alcuni confrontano il codice otp della response con quello inserito dall'utente e se matcha ritorna 200, alcuni si rifiutano di implementare una sicurezza robusta pensando che nessuno andrà ad analizzare la app e quindi renderebbe il lavoro più "semplice", in alcuni casi serve per non fare più request al db però è una soluzione non implementabile come in questo caso per motivi di sicurezza. Poi in ogni caso basterebbe non mandarlo indietro nella response e appunto come dici tu gestire tutto direttamente nel backend. Poi in realtà ci sarebbero anche molte altre vulnerabilità con otp code che non sto qui a spiegare ma potrebbe esserci code injection, template injection, xss in alcuni casi, otp bypass se la verifica non è implementata rigorosamente e così via..
2. @bypit9694 23 maggio 2025
  
  @Ak1r4Yuk1 Certo che se vuoi risparmiare una query al db per una cosa così fondamentale sei ben stranino...
3. @Ak1r4Yuk1 23 maggio 2025
  
  Quando è così meglio non programmare proprio @bypit9694