Ανώτερος Μηχανικός Ασφαλείας

Αναζητούμε έναν Ανώτερο Μηχανικό Ασφαλείας για να κατέχει το πώς το Ghost εντοπίζει, διορθώνει και αποτρέπει ζητήματα ασφαλείας.

Γεια σου! Αναζητούμε ένα νέο μέλος για να γίνει μέλος της ομάδας Ghost, ίσως να είστε εσείς;

Είμαστε ένας μη κερδοσκοπικός οργανισμός με αποστολή να δημιουργήσουμε σύγχρονη, ανεξάρτητη τεχνολογία εκδόσεων για να ενισχύσουμε το μέλλον της διαδικτυακής δημοσιογραφίας.

Αυτό δεν είναι πυραυλάκατος. Δεν θα βρείτε glitter unicorn ή εκθετικές καμπύλες εδώ γύρω, απλώς μια πραγματική εταιρεία με μια βιώσιμη επιχείρηση που ήταν κερδοφόρα από το πρώτο έτος και από τότε αναπτύσσεται υγιεινά. Επί του παρόντος, τα ετήσια έσοδά μας είναι 10.000.000 $+. Είμαστε πολύ διαφανείς σχετικά με την αποστολή και τις μετρήσεις μας, μπορείτε να διαβάσετε τα πάντα για εμάς.

Το Ghost είναι μια πλήρης στοίβα web εφαρμογή για την εκτέλεση ανεξάρτητων εκδόσεων. Είναι ένα από τα πιο δημοφιλή σύγχρονα έργα ανοιχτού κώδικα στον κόσμο και χρησιμοποιείται στην παραγωγή από δεκάδες χιλιάδες ιστότοπους και εταιρείες.

Το πιθανότερο είναι ότι έχετε ήδη επισκεφτεί και διαβάσει ιστότοπους που λειτουργούν στο Ghost! Οι χρήστες μας κυμαίνονται από διάσημες εκδόσεις όπως 404 Media, Platformer, Tangle News , έως εξέχουσες εταιρείες τεχνολογίας όπως το YCombinator , το First Round Review , το Cloudflare και το Kickstarter και πολλές, πολλές άλλες.

Ασφάλεια για μια μικρή ομάδα με πολύ μεγάλο κοινό

Το Ghost εκτελεί δεκάδες χιλιάδες δημοσιεύσεις και ο κώδικας που τις εκτελεί είναι ανοιχτού κώδικα. Ο καθένας μπορεί να το διαβάσει, και πολλοί άνθρωποι το κάνουν — ερευνητές, χομπίστες και όλο και περισσότερα εργαλεία τεχνητής νοημοσύνης στρέφονται στο αποθετήριό μας. Αυτό είναι καλό πράγμα. Σημαίνει επίσης μια σταθερή ροή αναφορών ασφαλείας που φτάνουν κάθε μήνα.

Μέχρι στιγμής, αυτή η δουλειά έχει μοιραστεί σε όλη την ομάδα μας. Λειτούργησε, αλλά η ασφάλεια στο Ghost αξίζει έναν κάτοχο: ένα άτομο που κατέχει ολόκληρη την εικόνα, από το πρώτο μήνυμα ηλεκτρονικού ταχυδρομείου που στέλνει ένας ερευνητής στο συμβουλευτικό υλικό που δημοσιεύουμε και που χρησιμοποιεί αυτό που βλέπει στην ουρά για να κάνει την επόμενη κατηγορία σφαλμάτων λιγότερο πιθανό να υπάρχει.

Το Ghost πάντα πίστευε στο να μένει σκόπιμα μικρός, περίπου 50 άτομα. Επομένως, δεν περιμένουμε να δημιουργήσουμε τμήμα ασφαλείας. Αντίθετα, θέλουμε έναν ανώτερο μηχανικό που σκέφτεται την ασφάλεια συστημικά — ο οποίος αντιμετωπίζει την ουρά αναφορών ως πηγή σήματος για τον κώδικά μας, τα εργαλεία μας και τις συνήθειές μας, και ο οποίος αλλάζει αυτά τα πράγματα αντί απλώς να καθαρίζει την ουρά.

Θα γίνετε μέλος της ομάδας μας στην πλατφόρμα και θα συνεργαστείτε στενά με τους μηχανικούς που κατασκευάζουν και αποστέλλουν το Ghost κάθε μέρα. Θα είστε επίσης το άτομο με το οποίο συνομιλεί η ερευνητική μας κοινότητα και το άτομο που θα ρωτήσει η υπόλοιπη ομάδα όταν δεν είναι σίγουροι εάν κάτι είναι ασφαλές.

Έξι μήνες μετά, ελπίζουμε να δούμε κάθε αναφορά να λαμβάνει μια πραγματική πρώτη απάντηση μέσα σε μια εβδομάδα, τίποτα να παραμένει άλυτο, τουλάχιστον ένας αυτοματοποιημένος έλεγχος ασφαλείας να εκτελείται σε κάθε αίτημα έλξης.

Αυτό που θα κάνετε

Κατέχετε τον κύκλο ζωής της αποκάλυψης. Κάθε αναφορά ασφαλείας στο Ghost προσγειώνεται μαζί σας. Θα το δοκιμάσετε, θα το αναπαράγετε, θα αποφασίσετε αν είναι αληθινό και θα μιλήσετε με τον ερευνητή που το έστειλε. Θα γράψετε και θα δημοσιεύσετε τις συμβουλές μας και θα διατηρήσετε την πολιτική και τις σελίδες που λένε στους ερευνητές πώς να συνεργαστούν μαζί μας.

Διορθώστε τα πράγματα στη βάση κώδικα. Όταν μια αναφορά είναι πραγματική, τη διορθώνεις. Αυτό σημαίνει να γράψετε μόνοι σας την ενημερωμένη έκδοση κώδικα στη βάση κώδικα Node.js/TypeScript του Ghost, να την ελέγξετε και να την προωθήσετε σε μια κυκλοφορία.

Μετακινήστε την ασφάλεια αριστερά. Ένα αυξανόμενο μερίδιο του κώδικα στο Ghost γράφεται με πράκτορες AI και τα αιτήματα έλξης είναι μεγαλύτερα και φτάνουν πιο γρήγορα από ό,τι στο παρελθόν. Θα σχεδιάσετε τους ελέγχους που σας επιτρέπουν να παραμείνουν γρήγορα χωρίς να αποτελούν υποχρέωση: σάρωση ασφαλείας που εκτελείται σε κάθε PR, αναθεωρήστε βήματα που εντοπίζουν τις κατηγορίες σφαλμάτων που βλέπουμε στην πραγματικότητα και μοντελοποίηση απειλών για τα μεγάλα αρχιτεκτονικά στοιχήματα ενώ βρίσκονται ακόμη στον πίνακα.

Χρησιμοποιήστε AI στην ίδια τη διαδικασία ασφαλείας. Διαλογή, αναπαραγωγή, ταξινόμηση πρώτου περάσματος, συμβουλευτική σύνταξη — θα δημιουργήσετε εργαλεία που θα αφαιρούν τα επαναλαμβανόμενα μέρη από το πιάτο σας και θα αφήνουν μαζί σας την κρίση.

Διδάξτε την ομάδα. Η καλύτερη λύση είναι να μην χρειάζεται να γράψει κανείς. Θα μετατρέψετε ό,τι μαθαίνετε από την ουρά σε καθοδήγηση, παραδείγματα και σύντομες συνεδρίες για τους μηχανικούς μας, έτσι ώστε η ίδια κατηγορία σφαλμάτων να μην επιστρέφει συνέχεια. Θα ελέγξετε την πλευρά της ασφάλειας των νέων λειτουργιών προτού αποσταλούν και θα βοηθήσετε την υπόλοιπη ομάδα να το κάνει αυτό για τον εαυτό της με την πάροδο του χρόνου.

Σκληρώστε την πλατφόρμα. Μαζί με την ομάδα της πλατφόρμας, θα εργαστείτε στην υποδομή που τρέχει το Ghost(Pro) — εξαρτήσεις, αλυσίδα εφοδιασμού, μυστικά, πρόσβαση. Θα λάβετε μέρος στην εναλλαγή εφημερίας.

Αυτό που ψάχνουμε

Αναζητούμε έναν ανώτερο μεμονωμένο συνεργάτη που το έχει κάνει στο παρελθόν: κάποιον που κατέχει την ασφάλεια εφαρμογών για ένα πραγματικό προϊόν και που είναι εξίσου άνετος με τη σύνταξη μιας ενημέρωσης κώδικα με τη σύνταξη ενός email αποκάλυψης. Θα είστε το μόνο άτομο στο Ghost του οποίου όλη η δουλειά είναι η ασφάλεια, επομένως θα ορίσετε μόνοι σας την κατεύθυνση και θα φέρετε την υπόλοιπη ομάδα μαζί σας.

Πιθανότατα θα αναγνωρίσετε τον εαυτό σας στα περισσότερα από αυτά:

• Βαθιά ασφάλεια εφαρμογών web. Γνωρίζετε τη συνηθισμένη λίστα, αλλά το πιο σημαντικό είναι ότι γνωρίζετε πώς εμφανίζονται πραγματικά αυτά τα σφάλματα σε μια μεγάλη εφαρμογή Node.js — ελαττώματα XSS, SSRF, auth και session, traversal path, injection, rate-limit και παρακάμψεις ελέγχου πρόσβασης. Τα βρήκατε, τα επιδιορθώσατε και τα εξηγήσατε σε άτομα που δεν τα είχαν ακούσει.

• Ένας δυνατός μηχανικός στο stack μας. Το Ghost είναι μια εφαρμογή JavaScript full-stack. Έχετε αποστείλει την παραγωγή Node.js/TypeScript και μπορείτε να προσφέρετε μια επιδιόρθωση έτοιμη για συγχώνευση σε μια μεγάλη, άγνωστη βάση κώδικα μέσα στις πρώτες εβδομάδες σας.

• Ένας στοχαστής συστημάτων. Βλέπετε την ουρά αναφοράς ως δεδομένα σχετικά με το πώς γράφεται ο κώδικας, όχι απλώς μια λίστα με πράγματα που πρέπει να διορθωθούν. Ψάχνετε για τη βασική αιτία πίσω από την τρίτη εμφάνιση του ίδιου σφάλματος και προτιμάτε να αλλάξετε τη διαδικασία που το παρήγαγε παρά να το διορθώσετε για τέταρτη φορά.

• Καλά με τους ερευνητές. Υπήρξατε από τη μια ή την άλλη πλευρά της συντονισμένης αποκάλυψης και ξέρετε πώς να τη διατηρείτε συνεργατική — να την αναγνωρίζετε γρήγορα, να είστε ειλικρινείς όσον αφορά τη σοβαρότητα, να πιστώνετε σωστά τους ανθρώπους και να πείτε όχι χωρίς να είστε απορριπτικοί.…

Πηγή: EU Remote Jobs (https://euremotejobs.com/job/senior-security-engineer-2/)