Cleartext Credential Recovery in ServiceNow

selfh.st77 Hot4 phút1 tháng trướcAI

Self-Host Weekly (14 August 2026)

Bài viết thảo luận về những thách thức khi triển khai Single Sign-On (SSO) trong môi trường self-hosted, đặc biệt là vấn đề bảo mật và rủi ro tiềm ẩn khi hệ thống gặp sự cố.

Lập trình viên tự host nên đọc bài này để hiểu cách quản lý các vấn đề về quyền riêng tư và thuế liên quan đến dịch vụ đăng nhập đơn lẻ (SSO) khi triển khai hệ thống riêng của mình.

#open-source #authentication

NVIDIA1 Hot5 phút3 ngày trướcAI

AI Security Is an Engineering Problem — How to Solve It at Every Layer of the Agent Stack

Trong bối cảnh các hệ thống AI ngày càng trở thành mục tiêu tấn công, vấn đề bảo mật AI cần được tiếp cận như một bài toán kỹ thuật toàn diện. Nguyên nhân kỹ thuật nằm ở việc các agent stack (khoảnh stack) gồm LLM (Large Language Model), planning systems và các công cụ bổ trợ đều có những điểm yếu riêng như prompt injection (tiêm lệnh prompt) hay data poisoning (ngộ độc dữ liệu). Hệ quả là các tổ chức phải đối mặt với rủi ro tấn công RCE (Remote Code Execution), data leakage (rò rỉ dữ liệu) và model evasion (né tránh mô hình). Bài viết đề xuất giải pháp triển khai controls (kiểm soát) tại từng layer, continuous testing (kiểm tra liên tục) và open research (nghiên cứu mở) để xây dựng hệ thống AI an toàn hơn, điều mà các nhà phát triển nên học hỏi để chủ động bảo vệ sản phẩm của mình.

Bài viết này giúp lập trình viên hiểu cách xây dựng và vận hành hệ thống AI an toàn hơn thông qua nghiên cứu mở, kiểm soát liên tục và thử nghiệm đa tầng.

#ai-agent #nvidia #ai-security Nguồn

Lobsters28 Hot9 phút1 tháng trướcAI

Open-sourcing OpenPubkey SSH (OPKSSH): integrating single sign-on with SSH

OpenPubkey SSH (OPKSSH) là công cụ cho phép đăng nhập SSH bằng single sign‑on (OpenID Connect) thay vì quản lý khóa SSH dài hạn, và vừa được mã nguồn mở dưới giấy phép Apache 2.0 sau khi Cloudflare tặng код từ việc mua lại BastionZero cho dự án OpenPubkey. Công cụ hoạt động bằng cách nhúng OpenID ID Token, mở rộng bằng khóa công khai qua giao thức OpenPubkey, vào trường mở rộng của chứng chỉ SSH, chỉ cần thay đổi hai dòng trong sshd_config sử dụng AuthorizedKeysCommand mà không cần sửa mã khách hàng hoặc máy chủ. Thay thế khóa SSH tĩnh bằng khóa tạm thời, hết hạn và gắn liền với danh tính (ví dụ: địa chỉ email) thay vì khóa công khai thô, OPKSSH nâng cao bảo mật, dễ sử dụng và khả năng truy vết truy cập. Điều này cho thấy việc tích hợp SSO vào SSH có thể đạt được với cấu hình tối thiểu, mang lại lợi ích về quản lý danh tính và giảm rủi ro từ khóa vĩnh viễn. Đồng quyên góp công cụ nội bộ dưới giấy phép cho phép mở rộng cộng đồng và thúc đẩy việc áp dụng rộng rãi các phương pháp xác thực hiện đại.

OPKSSH giúp đăng nhập SSH đơn giản hóa bằng single sign-on thay vì quản lý khóa SSH dài hạn, nâng cao bảo mật và khả năng hiển thị quyền truy cập.

#open-source #authentication #cloudflare Nguồn

FireUp17 Hot4 phút29 ngày trướcAI

Keycloak CVE-2026-18963: password reset without email or auth

Keycloak là nền tảng quản lý danh tính và truy cập mã nguồn mở phổ biến trong các hệ thống doanh nghiệp. CVE-2026-18963 với điểm CVSS 9.1 xuất hiện vì endpoint reset mật khẩu không yêu cầu xác thực người dùng cũng như không kiểm tra việc xác minh qua email. Do đó, kẻ tấn công không cần đăng nhập có thể gửi yêu cầu đặt lại mật khẩu cho bất kỳ tài khoản nào và lấy lại quyền truy cập hoàn toàn. Hệ quả là khả năng chiếm đoạt tài khoản người dùng rộng rãi, dẫn đến rò rỉ dữ liệu và phá hoại dịch vụ. Bài học là luôn xác thực và xác thực lại các thao tác nhạy cảm như reset mật khẩu, đồng thời cập nhật Keycloak lên phiên bản 26.7.2 hoặc mới hơn để vá lỗi này.

Lập trình viên nên đọc bài này để biết lỗ hổng mật khẩu nghiêm trọng trong Keycloak và cập nhật bản vá bảo vệ hệ thống.

#security #cloud #infrastructure Nguồn

Product Hunt49 Hot1 phút2 tháng trướcAI

Redential: A developer credential that proves what you built

Redential là công cụ đọc lịch sử git trên máy cá nhân, tạo hồ sơ kỹ thuật dựa trên những gì nhà phát triển thực sự xây dựng mà không tiết lộ code. Người dùng có thể kiểm soát dữ liệu chia sẻ và bảo vệ trực tiếp trước nhà tuyển dụng thông qua các buổi phỏng vấn live, cung cấp bằng chứng đáng tin cậy hơn CV truyền thống.

Là một lập trình viên cần tìm kiếm cơ hội công việc hoặc chứng minh năng lực thực tế của mình, Redential là giải pháp giúp bạn chứng minh thành tích thực sự qua lịch sử code cá nhân mà không cần phụ thuộc vào CV dễ bị giả mạo.

#open-source #career #devtools Nguồn

freeCodeCamp38 Hot17 phút1 tháng trướcAI

How OAuth 2.0 Works: A Practical Guide for Backend Developers

OAuth 2.0 là framework tiêu chuẩn cho ủy quyền truy cập, sử dụng các thành phần như Authorization Server, Bearer Tokens, PKCE và các loại "grant" khác nhau. Mặc dù nhiều nhà phát triển nắm vững thuật ngữ, nhưng việc triển khai thực tế thường gặp khó khăn do sự phức tạp của luồng ủy quyền.

Lập trình viên backend nên đọc bài này để hiểu rõ cách OAuth 2.0 thực sự vận hành trong thực tế, tránh nhầm lẫn giữa lý thuyết và ứng dụng thực tế, từ đó xây dựng các giải pháp bảo mật và giao tiếp API hiệu quả hơn.

#authentication #spring-boot #authorization Nguồn

Tigris55 Hot8 phút2 tháng trướcAI

Presigned URLs are technically a security vuln

URL được ký trước (Presigned URLs) có thể bị khai thác trong các cuộc tấn công replay do vô tình tạo ra lỗ hổng bảo mật. SigV4 sử dụng thời gian hệ thống để ký, cấp quyền truy cập tạm thời vào storage của Tigris, nhưng cũng tiềm ẩn rủi ro nếu không quản lý cẩn thận.

Lập trình viên nên đọc bài này để hiểu rõ cách presigned URLs có thể trở thành điểm yếu an ninh dễ bị exploit, từ đó tránh rủi ro như tấn công replay hoặc mất quyền kiểm soát dữ liệu khi sử dụng các dịch vụ lưu trữ như AWS S3.

#authentication Nguồn

Auth09 Hot3 phút1 tháng trướcAI

Auth0 Learning: The New Skill-Building Platform for Developers

Auth0 Learning là nền tảng kỹ năng mới dành cho nhà phát triển, cung cấp các khóa học miễn phí theo nhu cầu về identity providers và FGA mà không cần đăng ký.

Lập trình viên nên tìm hiểu Auth0 Learning vì đây là nguồn học tập miễn phí, chuyên sâu về các công nghệ quản lý xác thực và bảo mật, giúp nâng cao kỹ năng thực hành ngay từ các dự án thực tế mà không cần đăng ký.

#authentication #auth0 Nguồn

Cleartext Credential Recovery in ServiceNow

Đề xuất cho bạn

Self-Host Weekly (14 August 2026)

Bình luận

AI Security Is an Engineering Problem — How to Solve It at Every Layer of the Agent Stack

Open-sourcing OpenPubkey SSH (OPKSSH): integrating single sign-on with SSH

Keycloak CVE-2026-18963: password reset without email or auth

Redential: A developer credential that proves what you built

How OAuth 2.0 Works: A Practical Guide for Backend Developers

Presigned URLs are technically a security vuln

Auth0 Learning: The New Skill-Building Platform for Developers

Một tài khoản, cả hệ sinh thái

8syncdev.com

Khóa học

Luyện code

IELTS

ZUS — IDE AI

mind0

AcoLeads