Xiao Yu 小雨
675 貼文
Xiao Yu 小雨
contact creater
205 關注
10.2K+ 粉絲
323 點讚數
貼文
全部
直播
我最近一直在思考的一點是：人們是多麼容易在不追問“接下來會發生什麼”的情況下就慶祝默認拒絕（default-deny）策略。看到 Rego 策略裏寫了默認允許（default allow := false）確實會讓人安心，但我不認爲安全就是在這裏贏下的。它只是起點。
真正關鍵的是隨後添加的每一條允許（allow）規則。每一條都意味着對某些東西的信任是一種有意識的選擇，而信任絕不應當僅僅因爲“方便”就輕易給予。一個策略看起來可能極其嚴格，但卻在隱藏某個比任何人原本想象的權限範圍更大的許可。往往正是這種差別：讓人感覺“很安全”，還是實際上真的“安全”。
最讓我感興趣的是這些規則如何隨時間發生變化。團隊推進得很快，產品也在不斷演進，而臨時權限卻有一種“最終會變成永久”的習慣。沒人會注意到這一點，因爲一切仍在正常工作，然而安全邊界卻會慢慢變得不那麼清晰。
想象一條允許規則：它批准來自某個內部服務的所有請求，但卻從不檢查正在執行的是哪一種操作。這也許能解決一個短期問題，但如果該服務一旦被誤用或遭到濫用/被攻破，它也會爲非預期的訪問打開通路。
對我來說，默認拒絕模型真正的力量不在於“deny（拒絕）”這個詞。真正的力量在於每一個“allow（允許）”背後的紀律。
你在保持 allow 規則緊湊（嚴格約束）的同時，又不讓開發變得過分困難方面，有什麼做法？
#Newt #NEWT @NewtonProtocol $NEWT $BREV $TLM
@NewtonProtocol
#newt $NEWT
真正關鍵的是隨後添加的每一條允許（allow）規則。每一條都意味着對某些東西的信任是一種有意識的選擇，而信任絕不應當僅僅因爲“方便”就輕易給予。一個策略看起來可能極其嚴格，但卻在隱藏某個比任何人原本想象的權限範圍更大的許可。往往正是這種差別：讓人感覺“很安全”，還是實際上真的“安全”。
最讓我感興趣的是這些規則如何隨時間發生變化。團隊推進得很快，產品也在不斷演進，而臨時權限卻有一種“最終會變成永久”的習慣。沒人會注意到這一點，因爲一切仍在正常工作，然而安全邊界卻會慢慢變得不那麼清晰。
想象一條允許規則：它批准來自某個內部服務的所有請求，但卻從不檢查正在執行的是哪一種操作。這也許能解決一個短期問題，但如果該服務一旦被誤用或遭到濫用/被攻破，它也會爲非預期的訪問打開通路。
對我來說，默認拒絕模型真正的力量不在於“deny（拒絕）”這個詞。真正的力量在於每一個“allow（允許）”背後的紀律。
你在保持 allow 規則緊湊（嚴格約束）的同時，又不讓開發變得過分困難方面，有什麼做法？
#Newt #NEWT @NewtonProtocol $NEWT $BREV $TLM
@NewtonProtocol
#newt $NEWT
·
--
🎙️ 全線爆💰！SWARM，H、ZKJ，AIOT完美止盈落袋！實時行情解析+短線精準點位秒更，鎖定幣盈直播間，一手策略緊跟，不錯過任何一波行情！
結束
05 小時 59 分 59 秒
12.2k
19
·
--
🎙️ 系統彈窗提示大的要來了|MultiVibeStream | Focused on Trading | Music Show | News
結束
05 小時 59 分 47 秒
250.8k
73
·
--
🎙️ 持續監督跟單收益|MultiVibeLivestream|Focused on Trading|MusicShow|News
結束
05 小時 59 分 59 秒
54.9k
14
登入以探索更多內容