问题标签 [data-security]

我已经看到了一些使用具有如下结构的权限表的行级 ACL 实现

其中 Permission_Id 是（读取、写入、更新、删除、批准等）

我想知道用数据描述关系（Relationship_Id）而不是描述权限是否有任何好处。

我们将描述用户是“所有者”、“批准者”、“审阅者”、“公共查看者”等的想法。

然后，这种关系将定义一组权限。这可以减少权限的大小。

对这种方法有什么想法吗？

我想知道“没有加密的安全通信”，并偶然发现了 RL Rivest 关于 chaffing/winnowing 的论文（以及堆栈中的两个后续帖子）。我是一名业余程序员 - 因此应该避免“自己动手”等。但我想知道我是否有正确的想法：

关于代码的快速说明：在最终版本中，将使用加密安全随机生成器（当前仅用于测试目的）和 sha224HMAC，而不是直接的 sha224。

简单地说：输入消息>>消息使用随机盐（公开共享）和共享秘密分解为带有MAC的单个字符>>随机数量的随机字母与随机MAC混合>>消息被压缩压缩并发送给下一个人。

现在这个系统的问题之一是消息必须被分成如此小的部分，以至于这些部分的大小不会泄漏任何信息。我可能是错的，但是通过将其压缩并分解为字符，这可以吗？

运行上述代码的脚本的输出示例（以及为简洁起见未包括的其他代码）：

SALT: 3f441746966d9e3d269063b5c1b6c787fec25aa865365c60ce580ffd o:b3e7a01578c89fcff5d2eae4bb1d49a740f6ef935815d706d5e94417 6:16198f8ee137368cef98f469f97c2ceeca7a1f4a1ec0c01fc83521ec D:eb8532e15487c31efc39b1e381401c9d994a6b591ba00efc8089ced5 L:9d3124e8b9b5d5e15398c9413b8034dc9d46bb4b298840fcd54854de ,:1043a4ed6ec2316c4d2b71ad1cdba3d0b2cf13a213fc4ac1e9cabb78 K:79d97bfd0646ac10e4fdeddc4d7461ec57c6b7005fcfaf790525bf1f z:c30a80b64fc0cbbbcafee69ebfef67f3932e4db7ed67b03a8c2505b7 Q:37a8dae3c23364daf793c607b68a5ab5e1c9901242b96c652afb9482 p:b117f08b33519ca6ef74bd52f1c8cfb498ea6133e467e669fe7af7a3 [...]

我想知道在django web框架中实现管理页面的denning安全模型的过程。为此，我将不得不创建主题和对象。主题是用户和管理员。对象是应用模型和日志条目。此模型应替换用户的现有权限设置。我怎样才能轻松编程。

我要求不能将数据保存到设备（iPad 应用程序）。只要我不打电话，我还能使用 Core Datasave()吗？

或者我可以在应用程序关闭时删除上下文，从而防止任何数据保留在设备上？

另外，使用 Magical Record (MR) 会有所不同吗？如果是这样，您会建议 Realm 或 MR 用于这种类型的约束吗？

在钥匙串中存储敏感数据是 iOS 的最佳实践。但是使用越狱设备，攻击者可以转储所有钥匙串数据。（钥匙链翻斗车）

任何人都可以帮助我了解如何保护钥匙串中的数据，以防设备越狱。

如果我已经从公钥机构或公钥证书签署了密钥，我该如何取消它？

这里有一些图片显示了公钥授权和公钥证书是如何工作的

我正在使用电子开发跨平台的独立应用程序。

我想存储私有数据，例如私有密钥，私有数据以在应用程序中执行某些操作。执行像加密/解密数据。

或者

我想在应用程序上存储一些安全信息，例如用户密码、专有数据

是否有任何可能的方式来存储这些安全信息并且应用程序用户无法获得任何方式？

我有一个屏幕共享应用程序，其中所有敏感数据都被屏蔽了。在某些情况下，客户将敏感数据（例如 SSN）输入到非屏蔽字段中，从而直接影响我们的解决方案。

有没有一种方法可以检测到该人正在键入 SSN 或任何敏感数据，而无需在客户端访问数据库（或任何其他服务器端信息）。

例如，考虑一个带有 SSN 和地址字段的表单。如何避免在地址字段中显示错误输入的 SSN？

编辑

我现在的方法是将所有模式存储在客户端的属性文件中。例如，我的应用程序中的典型密码是 8 个字符，具有以下规则：

我将把这个正则表达式存储在客户端。一旦用户开始输入，我将检查他输入的是密码还是用户名。同样，我可以将电话号码分解为国家/地区代码格式，并且也可以使用正则表达式。但由于 SSN 是纯 9 位随机数，我被卡住了。

通过从 DOM 中提取字段名称，我可以获得光标的确切位置和用户正在输入数据的字段名称。通过使用它们支持的数据格式类型，我可以大致了解用户是否正在输入所需的数据或其他内容。如果我错了请纠正我

9 月：14th-2016 由于我在浏览器中运行屏幕共享解决方案，它将被网站用作可插入组件。因此要求他们重新构建页面并不容易。以下是我根据您的意见最终确定的方法。我将有一个文件文件，其中存储了所有模式。1.信用相关的信息都有一定的模式，所以不会有问题 2.密码也有一些规则或模式，所以这些也可以检查

为避免数据泄露，我将在用户输入数据之前显示通用消息，例如 watsapp 显示“用户正在输入”。一旦用户选项卡或进入下一个字段，则在内联模式验证后只会显示数据。

这里唯一剩下的就是如何检测那些没有任何模式的字段，如 SSN、电话号码等。希望我们也能有一些解决方案。

问候哈利

我们的仅 API 服务器在 Rails 4.2 上运行，流量很大。每隔一段时间，数据就会相互交叉。例如，当 Mailer 撰写电子邮件时，它会将电子邮件发送给错误的人。

我们对代码进行了双重和三重检查，唯一的解释是数据相互交叉，就好像它们共享同一个会话一样。这会损害安全性。

这是 Rails 的已知问题吗？我无法确定为什么会发生这种情况，并且希望获得任何一般安全提示和建议，以确保数据不被泄露并专门运行自己的线程/会话。

提前致谢。

我正在尝试解决架构设计难题，它是关于设计一个基础设施，以尽可能保证数据和服务器的安全/隐藏，以下是要求：

• 我想隐藏我的基础设施的内部设计（几个具有公共和私有主机的数据服务器）

• 我想使用相同的 IP 地址访问每个服务，并根据某些东西（cookie、uri、端口或其他）将查询转发到正确的服务器

• 必须使用 ssl/tls 加密强制访问数据服务

在仔细研究了这些要求之后，我正在考虑使用反向代理并仅通过反向代理服务器授予对所有数据服务的访问权限，反向代理的另一个优点是使用 sll/tls 加密立即强制执行访问身份验证，并且不需要分别配置每个端点。

我真正的问题是我没有找到任何支持 tcp 查询的反向代理，对于仅支持 HTTP 请求的静态负载平衡算法也是如此（例如 haproxy）

知道如何解决这个问题吗？

谢谢大家