🔵 عنوان مقاله
SockTail (GitHub Repo)

🟢 خلاصه مقاله:
**
SockTail یک باینری سبک در GitHub Repo است که دستگاه را به شبکه Tailscale متصل می‌کند و یک پراکسی محلی SOCKS5 روی port 1080 فراهم می‌سازد. هدف آن ساده‌سازی دسترسی شبکه‌ای در سناریوهای عملیات red team است؛ بدون نیاز به پیکربندی‌های پیچیده مثل port forwarding، سرویس‌های دائمی یا تونل‌های پرسر‌وصدا. با تکیه بر شبکه مش خصوصی و رمزنگاری Tailscale، دسترسی احرازشده، موقتی و کم‌ردپا فراهم می‌شود و ابزارها می‌توانند ترافیک خود را از طریق SOCKS5 محلی هدایت کنند، بی‌آنکه تغییرات عمیقی در تنظیمات سیستم ایجاد شود. استفاده از SockTail باید صرفاً در ارزیابی‌های مجاز و کنترل‌شده انجام شود.

#SockTail #Tailscale #SOCKS5 #RedTeam #Proxy #NetworkSecurity #GitHub #OffensiveSecurity

🟣لینک مقاله:
https://github.com/Yeeb1/SockTail?utm_source=tldrinfosec

➖➖➖➖➖➖➖➖
👑 @software_Labdon

🔵 عنوان مقاله
2FA testing with Playwright and Mailosaur

🟢 خلاصه مقاله:
** تست 2FA در سناریوهای E2E چالش‌برانگیز است، چون مرحله تأیید خارج از UI انجام می‌شود و کدها زود منقضی می‌شوند. Filip Hric در یک راهنمای عملی نشان می‌دهد چگونه با ترکیب Playwright و Mailosaur می‌توان این جریان را به‌صورت قابل‌اعتماد خودکار کرد: Playwright ورود را انجام می‌دهد، مرحله 2FA را فعال می‌کند، Mailosaur ایمیل حاوی OTP را از یک inbox کنترل‌شده می‌گیرد، کد استخراج می‌شود و در UI وارد می‌گردد تا احراز هویت کامل تأیید شود. نکات کلیدی شامل جداسازی داده‌های تست با یک سرور/اینباکس اختصاصی در Mailosaur، مدیریت timeout و چند ایمیل، کاهش flaky بودن با انتظارها و assertionهای مناسب، و پاک‌سازی بین اجراهاست. همچنین بر امنیت و اجرا در CI، نگهداری کلیدها در متغیرهای محیطی، و پوشش سناریوهایی مانند کد منقضی، کد نادرست و ارسال مجدد تأکید می‌کند. نتیجه: با Playwright و Mailosaur می‌توان 2FA را بدون هک‌های شکننده و با اطمینان بالا در مسیرهای حیاتی احراز هویت تست کرد.

#Playwright #Mailosaur #2FA #تست_خودکار #تست_پایان_به_پایان #QA #OTP #امنیت_برنامه

🟣لینک مقاله:
https://cur.at/xsedmVx?m=web

➖➖➖➖➖➖➖➖
👑 @software_Labdon

🔵 عنوان مقاله
Network security devices endanger orgs with '90s era flaws (3 minute read)

🟢 خلاصه مقاله:
** دستگاه‌های مرزی شبکه مثل فایروال‌ها، VPNها و درگاه‌های ایمیل به نقاط ریسک جدی تبدیل شده‌اند؛ به‌طوری‌که طبق پایش Google در سال 2024، نزدیک به یک‌سوم از 75 آسیب‌پذیری روز-صفر شناسایی‌شده، همین ابزارها را هدف گرفته‌اند. بخش بزرگی از این سوءاستفاده‌ها بر پایه نقص‌های قدیمی دهه ۹۰ است: سرریز بافر، تزریق فرمان و تزریق SQL؛ ضعف‌هایی که راهکارهای پیشگیری و تشخیص‌شان سال‌هاست شناخته شده، اما همچنان در کُدهای حیاتی فروشندگان امنیتی تکرار می‌شوند. به‌دلیل اینترنتی بودن، دسترسی‌های گسترده و اعتماد ضمنی این دستگاه‌ها، نفوذ به آن‌ها مسیر سریع برای دسترسی اولیه، جابه‌جایی جانبی، دستکاری جریان ایمیل، سرقت اعتبارنامه و خروج داده فراهم می‌کند. برای کاهش ریسک، سازمان‌ها باید این تجهیزات را مانند نرم‌افزارهای پرخطر مدیریت کنند: فهرست‌برداری دقیق، به‌روزرسانی سریع Firmware، رصد هشدارهای فروشنده، استفاده از وصله مجازی (WAF/IPS)، محدود کردن و امن‌سازی دسترسی مدیریتی، تفکیک شبکه و جمع‌آوری لاگ و تله‌متری. همچنین لازم است از فروشندگان بخواهند چرخه توسعه امن را تقویت کنند تا خطاهای قدیمی دوباره در مرز شبکه تکرار نشوند.

#NetworkSecurity
#ZeroDay
#Firewalls
#VPN
#EmailSecurity
#BufferOverflow
#SQLInjection
#Infosec

🟣لینک مقاله:
https://www.csoonline.com/article/4074945/network-security-devices-endanger-orgs-with-90s-era-flaws.html?utm_source=tldrinfosec

➖➖➖➖➖➖➖➖
👑 @software_Labdon

🔵 عنوان مقاله
CyberRidge (Product Launch)

🟢 خلاصه مقاله:
CyberRidge یک سامانه رمزنگاری فوتونیکِ plug-and-play معرفی کرده که داده‌های در حال انتقال را در لایه فیزیکی به سیگنال نوری شبیه نویزِ رمزگذاری‌شده تبدیل می‌کند؛ بنابراین هر گونه شنود فقط نویز بی‌معنا می‌بیند. این رویکرد با زیرساخت فیبر موجود سازگار است و بدون تغییرات اساسی در شبکه قابل استقرار است. هدف آن محافظت در برابر شنود، تحلیل‌های پیشرفته کوانتومی و حملات «الان جمع‌آوری کن، بعداً رمزگشایی کن» است تا مسیرهای انتقال داده به‌صورت پساکوانتومی امن شوند و به‌عنوان مکملی برای رمزنگاری‌های مرسوم در لایه‌های بالاتر عمل کند.

#PhotonicEncryption #PostQuantumSecurity #Cybersecurity #OpticalNetworking #DataProtection #QuantumResistant #HarvestNowDecryptLater #PlugAndPlay

🟣لینک مقاله:
https://www.cyber-ridge.com/?utm_source=tldrinfosec

➖➖➖➖➖➖➖➖
👑 @software_Labdon

🔵 عنوان مقاله
trdl (GitHub Repo)

🟢 خلاصه مقاله:
خلاصه‌ای متن‌باز به نام trdl با تمرکز بر «تحویل مطمئن» آخرین مرحله‌ی توزیع نرم‌افزار را امن می‌کند: رساندن به‌روزرسانی‌ها از Git به کاربر نهایی با کانالی قابل‌اعتماد و قابل‌راستی‌آزمایی. این راهکار با اتصال طبیعی به فرآیندهای مبتنی بر Git و ادغام در اتوماسیون انتشار، تضمین می‌کند آنچه نصب می‌شود همان چیزی است که نگه‌دارندگان منتشر کرده‌اند. با تکیه بر امضا و راستی‌آزمایی رمزنگاری، اصالت، تمامیت و مبدأ به‌روزرسانی‌ها قبل از اعمال بررسی می‌شود؛ در نتیجه ریسک‌های زنجیره تأمین کاهش می‌یابد و امکان انتشارهای قابل‌ممیزی، بازگشت نسخه و سیاست‌های به‌روزرسانی (مانند stable یا pre-release) فراهم می‌شود. trdl متن‌باز است، می‌تواند self-hosted اجرا شود، و از طریق GitHub Repo در دسترس است؛ کاربران و تیم‌های عملیاتی نیز می‌توانند با یک رابط ساده مانند CLI به‌روزرسانی‌های مورد اعتماد را دریافت و اعمال کنند.

#trdl #SupplyChainSecurity #SecureUpdates #Git #OpenSource #DevOps #SoftwareDelivery #CI/CD

🟣لینک مقاله:
https://github.com/werf/trdl?utm_source=tldrinfosec

➖➖➖➖➖➖➖➖
👑 @software_Labdon

🔵 عنوان مقاله
Introducing CodeMender: an AI agent for code security (5 minute read)

🟢 خلاصه مقاله:
** CodeMender ابزاری مبتنی بر هوش مصنوعی از Google DeepMind است که به‌صورت خودکار آسیب‌پذیری‌های نرم‌افزاری را شناسایی، اصلاح و از بروز آن‌ها پیشگیری می‌کند. این Agent با تحلیل مستمر کد، ضعف‌ها را پیدا کرده و برای آن‌ها Patchهای عملی پیشنهاد می‌دهد تا با تأیید توسعه‌دهندگان اعمال شوند. نتیجه، افزایش امنیت کدهای موجود و کاهش زمان صرف‌شده برای مدیریت دستی آسیب‌پذیری‌هاست. CodeMender با تکمیل مهارت کارشناسان و سازگاری با جریان‌های کاری رایج، به تیم‌ها کمک می‌کند نرم‌افزار ایمن‌تری را سریع‌تر ارائه دهند و رویکردی پیشگیرانه در امنیت اتخاذ کنند.

#CodeMender #GoogleDeepMind #AI #CodeSecurity #CyberSecurity #SoftwareSecurity #DevSecOps

🟣لینک مقاله:
https://deepmind.google/discover/blog/introducing-codemender-an-ai-agent-for-code-security/?utm_source=tldrinfosec

➖➖➖➖➖➖➖➖
👑 @software_Labdon

دیروز یه پست از برتنی مولر خوندم که واقعاً ذهنم رو درگیر کرد.
موضوعش «هک شدن مرورگر ChatGPT Atlas فقط در ۴۸ ساعت» بود.

مرورگر هوش مصنوعی OpenAI رو محقق‌ها تونستن با دستورهای پنهان در متن سفید و HTML هک کنن.
روش‌های قدیمی BlackHat دوباره برگشتن، فقط این بار قربانی انسان نیست… هوش مصنوعیه!

برتنی می‌گه مشکل اینجاست که LLM نمی‌تونه فرق بین محتوای واقعی و دستور مخرب رو تشخیص بده.
و این یعنی:
الان کل صفحه مهمه، از کامنت HTML تا متن سفید.
محتوای UGC (نظرات و دیدگاه‌ها) می‌تونه دروازه‌ی حمله بشه.
مرورگرهای هوش مصنوعی در برابر تهدیدات امنیتی هنوز خیلی ضعیفن.

اما کامنت رند فیشکین از اونم جالب‌تر بود:
می‌گه شاید هدف ChatGPT از ساخت مرورگر اصلاً «مرور وب» نبوده…
بلکه یه «اسب تروجان» بوده برای اینکه سایت‌ها دیگه نتونن جلوی خزنده‌ش رو بگیرن.
چون اگه بخوای دسترسی Atlas رو ببندی، در واقع داری جلوی کاربر واقعی مرورگر رو هم می‌گیری.

به نظرم این نقطه‌ی خطرناکیه که سئو، امنیت و مالکیت داده با هم برخورد می‌کنن.
مرورگرها دیگه فقط نمی‌خونن، تصمیم می‌گیرن ، و گاهی شاید بر خلاف منافع صاحب محتوا.

<Shahram Rahbari/>

https://t.iss.one/addlist/AJ7rh2IzIh02NTI0

🔵 عنوان مقاله
In Sprint Test Automation

🟢 خلاصه مقاله:
در آزمون‌سازی درون‌اسپرینت در Agile، هدف این است که تست‌ها همزمان با توسعه نوشته و اجرا شوند تا بازخورد سریع و خطاهای انباشته کاهش یابد. تجربه‌ها نشان می‌دهد موفقیت به چند عامل وابسته است: خرد کردن قصه‌ها به قطعات کوچک و قابل‌آزمون، پذیرش «Definition of Ready» و «Definition of Done» که شامل آزمون خودکار است، همکاری نزدیک Dev و QA با رویکردهای TDD/BDD، و برخورد با تست مثل کد (همان مخزن، همان استراتژی شاخه، همان بازبینی کد).

برای پشتیبانی از این جریان، CI/CD باید سریع و قابل‌اعتماد باشد: اجرای موازی، محیط‌های موقتی مبتنی بر کانتینر، مجازی‌سازی سرویس‌ها و Mockها برای قطع وابستگی‌ها، و مدیریت داده‌ی تست که آزمون‌ها را تکرارپذیر و بدون نوسان نگه می‌دارد. تمرکز بر هرم تست ضروری است: پوشش بالای Unit و Integration/Contract، و تنها یک لایه نازک از E2E UI (مثلاً با Cypress یا Playwright)؛ در کنار آن، سنجه‌هایی مانند زمان رسیدن تغییر تا استقرار، نرخ شکست و زمان ترمیم رصد می‌شوند و تست‌های flaky سریع قرنطینه و اصلاح می‌گردند.

همچنین پرهیز از الگوهای ضدِکیفیت مانند «Hardening Sprint»، عقب‌انداختن اتوماسیون به‌عنوان بدهی، یا اتکا به E2E شکننده توصیه می‌شود. استفاده از Feature Flag، Contract Testing در معماری‌های مبتنی بر سرویس، و مالکیت مشترک کیفیت در کل تیم به تحقق «اتمام واقعی کار» در همان اسپرینت کمک می‌کند.

#Agile #TestAutomation #InSprintTesting #CI_CD #TDD #BDD #DevOps

🟣لینک مقاله:
https://cur.at/46VanjF?m=web

➖➖➖➖➖➖➖➖
👑 @software_Labdon

🔵 عنوان مقاله
US Teen Indicted in 764 Network Case Involving Exploitation Crimes (2 minute read)

🟢 خلاصه مقاله:
یک جوان ۱۹ساله از کالیفرنیا به‌اتهام مشارکت در شبکه افراطی «764» تحت پیگرد فدرال قرار گرفته است. به‌گفته دادستان‌ها، این شبکه در دسته‌بندی Nihilistic Violent Extremist قرار می‌گیرد و عمدتاً در فضای آنلاین فعالیت دارد؛ جایی که اعضا به سوءاستفاده از قربانیان خردسال و فروپاشاندن هنجارهای اجتماعی از طریق آزار، دست‌کاری و رفتارهای آسیب‌زا متهم هستند. مقامات می‌گویند این پرونده با رصد فعالیت‌های آنلاین و شواهد دیجیتال پیش رفته و بر توجه روزافزون پلیس به جرایم بهره‌کشی در تلاقی با خُرده‌فرهنگ‌های افراطی آنلاین تأکید دارد. با این حال، کیفرخواست به‌معنای اثبات جرم نیست و متهم تا زمان اثبات اتهامات بی‌گناه فرض می‌شود. این پرونده یادآور پیامدهای جدی قانونی مشارکت در چنین شبکه‌هایی—even اگر با پوشش «ترولینگ» یا پوچ‌گرایی انجام شود—و ضرورت محافظت بیشتر از کودکان، گزارش‌دهی به‌موقع، و همکاری پلتفرم‌ها برای پیشگیری و حمایت از قربانیان است.

#Extremism #OnlineSafety #ChildProtection #Cybercrime #LawEnforcement #USJustice #Indictment #DigitalForensics

🟣لینک مقاله:
https://hackread.com/us-teen-indicted-764-network-case-crimes/?utm_source=tldrinfosec

➖➖➖➖➖➖➖➖
👑 @software_Labdon

🔵 عنوان مقاله
Writing custom Cypress plug-ins that solve common software testing problems

🟢 خلاصه مقاله:
اکوسیستم افزونه‌های Cypress به تیم‌ها اجازه می‌دهد فراتر از امکانات پیش‌فرض، چالش‌های واقعی تست را حل کنند؛ از کاهش ناپایداری تست‌ها و مدیریت محیط و داده تا یکپارچه‌سازی گزارش‌ها و سرویس‌های بیرونی. Kanika Vatsyayan توضیح می‌دهد چگونه با شناسایی یک مسئله تکراری، طراحی یک API ساده، ساخت پکیج npm، ثبت tasks در Node hook، افزودن تنظیمات و مثال‌های عملی، و همچنین تست و TypeScript typings، یک افزونه قابل اتکا بسازید. او بر نسخه‌بندی شفاف، سازگاری با نسخه‌های مختلف Cypress، کارایی، امنیت داده‌ها، مستندسازی و انتشار در npm تاکید می‌کند تا افزونه‌ها قابل نگهداری و قابل استفاده توسط جامعه باشند. نتیجه این است که با چند الگوی ساده و نمونه‌های واقعی، هر کسی می‌تواند راه‌حل‌های خود را به‌صورت افزونه منتشر کرده و به اکوسیستم تست کمک کند.

#Cypress
#SoftwareTesting
#QA
#JavaScript
#Plugins
#Automation
#OpenSource
#EndToEndTesting

🟣لینک مقاله:
https://cur.at/pj9uiDZ?m=web

➖➖➖➖➖➖➖➖
👑 @software_Labdon

🔵 عنوان مقاله
Hackers Use NFC Relay Malware to Clone Tap-to-Pay Android Transactions (2 minute read)

🟢 خلاصه مقاله:
پژوهشگران Zimperium شناسایی کرده‌اند که بیش از 760 اپلیکیشن مخرب روی Android با سوءاستفاده از NFC و Host Card Emulation داده‌های پرداخت را به‌صورت بلادرنگ به مهاجمان رله می‌کنند و این عملیات از طریق بیش از 70 سرور command-and-control (C2) و ربات‌های Telegram هماهنگ می‌شود. مهاجمان با اپ‌های جعلی که ظاهر Google Pay، VTB Bank و Santander را تقلید می‌کنند، کاربران در روسیه، لهستان، برزیل و چند کشور دیگر را فریب داده‌اند تا با گرفتن دسترسی‌های حساس، پرداخت‌های tap-to-pay جعلی را بدون نیاز به کارت فیزیکی انجام دهند. در این حمله، توکن‌ها/جلسات پرداخت از دستگاه قربانی جمع‌آوری و بی‌درنگ به دستگاهی نزدیک پایانه فروش منتقل می‌شود تا تراکنش تکمیل شود. برای کاهش ریسک: فقط از Google Play Store نصب کنید، Android و Play Protect را به‌روز نگه دارید، دسترسی‌های حساس (به‌ویژه accessibility و device admin) را محدود کنید، NFC را هنگام عدم نیاز خاموش کنید و هشدارهای بانکی را فعال کنید.

#Android #NFC #HCE #MobileMalware #Cybersecurity #TapToPay #GooglePay #Zimperium

🟣لینک مقاله:
https://hackread.com/nfc-relay-malware-clone-tap-to-pay-android/?utm_source=tldrinfosec

➖➖➖➖➖➖➖➖
👑 @software_Labdon

🔵 عنوان مقاله
Why QA Keep Losing the Same Battles, even when Automation and AI is integrated

🟢 خلاصه مقاله:
این مقاله می‌گوید با وجود سرمایه‌گذاری در Automation و AI، مشکلات QA تکرار می‌شوند، چون مسأله اصلی کمبود ابزار نیست، بلکه نبود هم‌راستایی بر سر معنای «کیفیت» و شیوه ساختن آن است. به‌گفته Marina Jordão، کیفیت واقعی از انسان‌ها، استراتژی و حمایت از کاربر می‌آید؛ ابزارها فقط سرعت می‌دهند، اما جای تحلیل ریسک، معیارهای شفاف و آزمون اکتشافی را نمی‌گیرند. شکست‌های تکراری زمانی رخ می‌دهد که QA دیر وارد چرخه می‌شود، شاخص‌ها سطحی‌اند و تمرکز از نتایج واقعی برای کاربر دور می‌شود. راه‌حل، دیدن کیفیت به‌عنوان مسئولیت تیمی، درگیر کردن زودهنگام QA، تکیه بر پیشگیری به‌جای صرفاً کشف خطا و به‌کارگیری Automation و AI به‌عنوان تقویت‌کننده قضاوت انسانی است.

#QA #Testing #Automation #AI #QualityEngineering #UserAdvocacy #TestStrategy #DevOps

🟣لینک مقاله:
https://cur.at/UzsHvzU?m=web

➖➖➖➖➖➖➖➖
👑 @software_Labdon

🔵 عنوان مقاله
Automating LLM Apps Quality: A Survey of Open-Source Evaluation Tools for CI/CD

🟢 خلاصه مقاله:
** این مقاله به‌قلم Tarek Oraby فهرستی کاربردی از ابزارهای متن‌باز برای ارزیابی LLM و خودکارسازی تضمین کیفیت در CI/CD ارائه می‌کند. ابزارها طیفی از نیازها را پوشش می‌دهند: آزمون واحد برای پرامپت و زنجیره، ارزیابی مبتنی‌بر داده و متریک، بازبینی انسانی، گاردریل‌ها و سیاست‌های ایمنی، تولید داده و تست‌های مصنوعی، و مانیتورینگ پس از استقرار. سنجه‌های کلیدی شامل درستی و وفاداری (به‌ویژه در RAG)، ایمنی و سوگیری، پایداری و رگرسیون، و همچنین تأخیر و هزینه است. راهکارهای ادغام با CI/CD شامل تعریف آستانه قبولی/رد، اجرای تست‌ها در هر PR، نسخه‌بندی پرامپت/داده، مقایسه نتایج بین اجراها و گزارش‌دهی خودکار در PRهاست و می‌تواند با GitHub Actions، GitLab CI یا Jenkins پیاده شود. پیشنهاد عملی شروع کوچک با تست‌های طلایی، افزودن تست‌های رگرسیونی برای پرامپت‌های حساس و فعال‌سازی گاردریل‌هاست تا به‌تدریج پوشش و پایداری کیفیت افزایش یابد.

#LLM #CICD #MLOps #OpenSource #AIEvaluation #PromptTesting #QualityAssurance #AISafety

🟣لینک مقاله:
https://cur.at/BRLtRlT?m=web

➖➖➖➖➖➖➖➖
👑 @software_Labdon

🔵 عنوان مقاله
From Templates to Heuristics: Enhancing Thought Work

🟢 خلاصه مقاله:
تست مؤثر بیش از آن‌که به پر کردن قالب‌ها و چک‌لیست‌ها تکیه کند، به فهم عمیق و تأمل وابسته است. Maria Kedemo تأکید می‌کند که به‌جای تمرکز بر فرم‌ها، باید با نگاه انتقادی و زمینه‌محور به ریسک و ارزش فکر کنیم. در این رویکرد، هیوریستیک‌ها (heuristics) به‌عنوان راهنماهای منعطف و خطاپذیر به ما کمک می‌کنند پرسش‌های بهتری بپرسیم، فرضیات پنهان را آشکار کنیم و بر اساس چرخه‌های مشاهده، فرضیه‌سازی، آزمون و یادگیری مسیر را تنظیم کنیم. سازمان‌ها باید زمان و سازوکارهایی برای بازاندیشی (مثل دی‌بریف و بازبینی همتا) فراهم کنند و موفقیت را با کیفیت اطلاعات ریسکی و یادگیری حاصل بسنجند، نه با تعداد موارد آزمون یا فرم‌های تکمیل‌شده. قالب‌ها می‌توانند نقش داربست داشته باشند، اما مقصد نیستند؛ مقصد، اندیشیدن بهتر و تصمیم‌های سازگار با زمینه است.

#SoftwareTesting #Heuristics #ExploratoryTesting #QualityEngineering #TestingStrategy #CriticalThinking #ContextDrivenTesting

🟣لینک مقاله:
https://cur.at/Q0yh9ik?m=web

➖➖➖➖➖➖➖➖
👑 @software_Labdon

🔵 عنوان مقاله
Dismantling a Critical Supply Chain Risk in VSCode Extension Marketplaces (7 minute read)

🟢 خلاصه مقاله:
بیش از ۵۵۰ راز حساس در افزونه‌های عمومی VSCode افشا شد، از جمله AWS و GitHub tokens. علت اصلی، مدیریت ناامن فایل‌ها در فرایند توسعه و انتشار بود؛ مشکلی که می‌تواند به مهاجمان امکان دهد با سوءاستفاده از توکن‌ها به‌روزرسانی‌های مخرب منتشر کنند و حملات زنجیره‌تأمین را آغاز کنند. در واکنش، پلتفرم‌ها توکن‌های آسیب‌دیده را باطل کردند، ناشران را مطلع ساختند و اسکن خودکار را تقویت کردند. این حادثه بر ضرورت ایمن‌سازی اکوسیستم افزونه‌ها تأکید دارد: حذف فایل‌های حساس از بسته‌ها، استفاده از secret managers به‌جای درج مستقیم کلیدها، محدود کردن سطح دسترسی توکن‌ها، و اسکن مداوم برای کشف نشت رازها.

#SupplyChainSecurity #VSCode #DevSecOps #SecretsManagement #AppSec #TokenSecurity #SoftwareSupplyChain #SecureCoding

🟣لینک مقاله:
https://www.wiz.io/blog/supply-chain-risk-in-vscode-extension-marketplaces?utm_source=tldrinfosec

➖➖➖➖➖➖➖➖
👑 @software_Labdon

🔵 عنوان مقاله
Power pairing our people process: How we moved to a collaborative QA Engineer and QA Analyst model

🟢 خلاصه مقاله:
** این مقاله نشان می‌دهد که با جفت‌کردن نقش‌های مکمل در کیفیت، یعنی QA Engineer و QA Analyst، می‌توان کیفیت را از یک مرحله انتهایی به یک فعالیت پیوسته و مشارکتی در دل فرایند توسعه تبدیل کرد. بر اساس ایده‌های Matthew Whitaker و همسو با فلسفه pair-programming، QA Engineer روی اتوماسیون، ابزارها و CI/CD تمرکز می‌کند و QA Analyst بر تحلیل نیازمندی‌ها، آزمون اکتشافی و مدیریت ریسک؛ و همکاری نزدیک آن‌ها شکاف‌های فنی و محصولی را کاهش می‌دهد. این جفت به‌صورت مشترک معیارهای پذیرش و استراتژی آزمون را می‌نویسد، بین نقش «راننده/راهنما» جابه‌جا می‌شود و یافته‌های اکتشافی را سریع به تست‌های خودکار قابل نگهداری تبدیل می‌کند. پیاده‌سازی موفق با یک پایلوت، برنامه‌ pairing شفاف، ابزارهای دیدپذیری، و سنجه‌هایی مانند نرخ خطای فرار، زمان چرخه و نرخ بازکار آغاز می‌شود و با مدیریت چالش‌هایی مانند ابهام نقش و خستگی جلسات از طریق RACI سبک، پلی‌بوک، تایم‌باکس و آداب pairing تثبیت می‌شود. دستاوردها شامل بازخورد سریع‌تر، کاهش خطاهای فرار، مالکیت مشترک کیفیت و انتقال دانش گسترده‌تر در تیم است؛ همان درسی که از pair-programming می‌گیریم: دو ذهن مکمل، از یک متخصص تنها مؤثرترند.

#QA #PairProgramming #QualityAssurance #AgileTesting #Collaboration #DevOps #TestAutomation #TeamCulture

🟣لینک مقاله:
https://cur.at/EuZObTr?m=web

➖➖➖➖➖➖➖➖
👑 @software_Labdon

تفاوت Access Token و Refresh Token به زبان ساده
در سیستم‌های احراز هویت مدرن مثل Keycloak یا IdentityServer،
دوبار اسم «توکن» رو می‌شنویم:
ولی واقعاً فرقشون چیه؟
Access Token
توکن کوتاه‌مدتیه (مثلاً ۵ تا ۱۵ دقیقه) که بعد از لاگین کاربر صادر میشه.
هر بار که کاربر به API درخواست می‌فرسته، این توکن همراه درخواست میره تا سرور بفهمه کاربر کیه.
Refresh Token
طول عمر بیشتری داره (مثلاً ۳۰ دقیقه یا حتی چند ساعت).
اگر Access Token منقضی بشه، سیستم با استفاده از Refresh Token یه Access Token جدید می‌گیره
— بدون اینکه کاربر مجبور باشه دوباره لاگین کنه.
به زبان ساده Access Token مثل بلیط ورود به یک سالن هست ️
اما Refresh Token مثل کارت عضویت اون سالنه
باهاش می‌تونی هر بار بلیط جدید بگیری بدون ایستادن تو صف لاگین.
مزیت این روش:
امنیت بیشتر (Access Token کوتاه‌مدت و ایمن‌تره)
تجربه کاربری بهتر (کاربر کمتر لاگ‌اوت میشه)
کنترل بهتر سمت سرور روی اعتبار توکن‌ها
در پروژه‌ی اخیرم با Keycloak این مکانیزم رو پیاده‌سازی کردم.
کاربر بعد از ثبت‌نام، هم در Keycloak و هم در SQL Server ذخیره میشه تا
میان سیستم احراز هویت و اپلیکیشن اصلی یکپارچگی کامل برقرار باشه.
هر وقت در مورد Authentication کار می‌کنی،
یادت باشه که هدف فقط «ورود کاربر» نیست —
بلکه «مدیریت ایمن و هوشمند عمر نشست (Session Lifecycle)» هست.
در دنیای Api ها ما موظفیم با توکن ها کار کنیم
در ریزور پیج ها یک ورودی هیدن داشتیم که مدیریت توسط آن توسط خود asp بود
اما در api ها مدیریت توکن ها با ماست
بهترین گزینه هم استفاده از IDP (Identity Provider) هاست چون هم فرانت و هم بک را برای ما پوشش میدهد.

<Hossein Molaei/>

🔵 عنوان مقاله
When Tests Start Drawing the Map

🟢 خلاصه مقاله:
** در دنیای واقعی توسعه، محیط‌های تست به‌ندرت کامل‌اند: اطلاعات ناقص است، وابستگی‌ها تغییر می‌کنند و قطعیت کم است. Charlie Kingston پیشنهاد می‌کند به تست مثل «نقشه‌کش» نگاه کنیم؛ هر تست یک کاوش است که مرزها، خطرها و رفتارهای واقعی سیستم را روشن می‌کند و نقشه‌ای زنده از آنچه می‌دانیم می‌سازد.

با بیان شفاف فرضیه‌ها و تبدیلشان به تست، استفاده از ابزارهـای مشاهده‌پذیری برای رفع نقاط کور، ایجاد چرخه‌های بازخورد سریع و اولویت‌بندی ریسک (مسیرهای بحرانی، حالت‌های خرابی، و درزهای یکپارچه‌سازی)، این نقشه قابل اعتماد می‌شود. تست‌ها فقط دروازه انتشار نیستند؛ دانسته‌های تیم را مستند می‌کنند، قراردادهای بین سرویس‌ها را شفاف می‌سازند و بازطراحی امن را ممکن می‌کنند. با هر تغییر، تست‌ها نشان می‌دهند کجا نقشه با واقعیت نمی‌خواند و باید دقیق‌تر بررسی شود.

ترکیبی از روش‌ها این نقشه را کامل‌تر می‌کند: Contract Testها برای انتظارات بین سرویس‌ها، Property-based Testing برای پوشش لبه‌ها، تست اکتشافی برای کشف ناشناخته‌ها، و پایش مصنوعی در محیط اجرا برای تشخیص تغییر رفتار. پیام نهایی: منتظر مشخصات کامل نمانید؛ با تست، نقشه را همزمان با حرکت ترسیم کنید تا عدم‌قطعیت کاهش یابد و کیفیت با اطمینان بیشتری ارائه شود.

#تست_نرم‌افزار #کیفیت #بازخورد_سریع #مدیریت_ریسک #Observability #مهندسی_نرم‌افزار #توسعه_چابک #QA

🟣لینک مقاله:
https://cur.at/m1egK0h?m=web

➖➖➖➖➖➖➖➖
👑 @software_Labdon

🔵 عنوان مقاله
Apple alerts exploit developer that his iPhone was targeted with government spyware (4 minute read)

🟢 خلاصه مقاله:
اپل به یک توسعه‌دهنده اکسپلویت iOS با نام مستعار Jay Gibson اطلاع داده که آیفون شخصی او در ماه مارس هدف جاسوس‌افزار «مزدور» قرار گرفته است؛ اتفاقی که می‌تواند نخستین مورد مستند از هدف قرار گرفتن توسعه‌دهندگان چنین ابزارهایی توسط همان طبقه از ابزارها باشد. این فرد چند هفته قبل از دریافت هشدار، از شرکت Trenchant (زیرمجموعه L3Harris) اخراج شده بود؛ به اتهام افشای زیرو-دی‌های Chrome، اتهامی که او و همکاران سابقش رد می‌کنند. اپل معمولاً جزئیات فنی یا نسبت‌دهی ارائه نمی‌دهد، اما این هشدارها نشانه خطر جدی تلقی می‌شود. این پرونده نشان می‌دهد استفاده از جاسوس‌افزارهای تجاری به حوزه متخصصان فنی نیز سرایت کرده و پرسش‌هایی درباره منبع حمله، انگیزه‌ها و راهکارهای حفاظتی مطرح می‌کند.
#Apple #iOS #iPhone #Spyware #MercenarySpyware #L3Harris #Trenchant #Cybersecurity

🟣لینک مقاله:
https://techcrunch.com/2025/10/21/apple-alerts-exploit-developer-that-his-iphone-was-targeted-with-government-spyware/?utm_source=tldrinfosec

➖➖➖➖➖➖➖➖
👑 @software_Labdon

🔵 عنوان مقاله
How to Test Asynchronous Processes That Complete Hours Later

🟢 خلاصه مقاله:
** دانیل Delimata نشان می‌دهد چگونه با بازطراحی کوچک در سیستم و تست‌ها می‌توان فرایندهای ناهمگامی را که نتیجه‌شان ساعت‌ها بعد دیده می‌شود، به‌صورت خودکار و سریع راستی‌آزمایی کرد. رویکرد پیشنهادی بر «assertionهای در نهایت» با مهلت مشخص تکیه دارد: به‌جای sleep طولانی، رویداد را آغاز کنید و با polling یا اشتراک در خروجی‌ها (داده، رویداد، ایمیل) نتیجه را تا ضرب‌الاجل تعیین‌شده بررسی کنید. زمان را تزریق‌پذیر کنید (clock فیک)، زمان‌بندی‌ها را قابل‌پیکربندی کنید یا test hook امن برای اجرای فوری کارها فراهم کنید؛ و با شناسه‌های همبستگی و مشاهده‌پذیری (مثل OpenTelemetry) مسیر انتهابه‌انتها را رهگیری کنید. برای پایداری، هندلرهای idempotent، داده‌ی تست ایزوله و محیط‌های موقتی به کار ببرید و سطح مناسب تست (واحد، یکپارچه، انتهابه‌انتها، contract) را انتخاب کنید. در CI، مسیر سریع با زمان شتاب‌داده/هوک و مسیر آهسته شبانه‌ی واقع‌گرایانه را ترکیب کنید تا فرایندهایی که ساعت‌ها طول می‌کشند، در چند دقیقه به‌طور مطمئن تست شوند.

#AsynchronousTesting #EventualConsistency #Automation #DistributedSystems #E2ETesting #Observability #CI_CD #MessageQueues

🟣لینک مقاله:
https://cur.at/tVLKSEQ?m=web

➖➖➖➖➖➖➖➖
👑 @software_Labdon