у меня оч удачно есть вопрос для веберов. покритикуйте пожалуйста, я перенаправлю ребятам

Дано:

• "Стандартное" веб приложение: два фронтенда - клиентский и админка, клиентские мобильные приложения, и бекенд (REST API) один на всех
• Фронтенды на React (статика)
• В бекенде есть API ручки, которые только для админки. Там различные уровни прав, ACL, 2FA и пр. В общем-то всё по best practices.
• Данные в бекенде очень чувствительные - персональные, коммерческие и пр.

Задача: максимально обезопасить админку и ручки, которые к ней относятся, т.е. уменьшить "attack surface"

Идеи:

• React код админки может содержать подсказки на то, какие есть ручки в API и как с ними работать. Лучше его закроем web proxy, чтоб левые не получили к нему лёгкий доступ.
• API закрыть сложно, поскольку одни и те же ручки могут использоваться и админкой и клиентом. Идея такая - если сессия от админки (сотрудника), то API применяет дополнительный ACL по IP адресу источника. Чтоб пройти проверку по IP, сотрудники работают через тот же web proxy

Нужна конструктивная критика:

• Глядя со стороны, есть какие-то плюсы и минусы этого подхода?
• Может другие варианты?

В целом норм.
Прятать статику с одной стороны хочется, с другой это создает ложное ощущение, что если апи не известно, то оно в безопасности. Декларируя его в общедоступном файле, вы идете по пути осознанности. Считай опенсорс) Эндпоинты должны авторизировать запросы, желательно единым слоем, и веб-прокся как ещё доп слой логики разграничения доступа вполне.

Главное не навелосипедить с переносом ответственности за "у нас в админ API различные уровни прав, ACL, 2FA и пр. В общем-то всё по best practices." на "у нас админ API за проксей, только с определенной сети, можно и апи не харденить и тесты не писать, она ж только из офиса, да и вообще эндпоинт /api/admin/dump_secrets_tmp нужен только на 15 минут, завтра потрем".

Какая-нибудь SSRF или днс ребиндинг через сотрудника позволят размотать апишку при удачном стечении обстоятельств.

Когда не веберы не осилили в архитектуру)

осилили, просто много между строк имелось ввиду

Минимизация риска при sqli ну как минимум же

И вообще это всё для увеличения стоимости атак

ну про то и речь, что про sqli

Даровеньки

ну вас. кому нужны ваши хэши если у меня на руках rce да еще и рутовый

поставил снифер и сиди собирай пароли

Именно

перцы соли, чушь какая то

Ууу, бум зазнался, известным стал

Ты чё пес

Уважаю

Когда еще стримы с Немкой?

Или уже все?

у них были стримы?

Ага