Ingegnere sicurezza e identità

Cosa so fare

• Progettare un modello di autenticazione: chi dimostra cosa, a chi, e quanto vale un token rubato.
• Mettere in piedi un provider OIDC con cicli di vita dei token corretti invece di un cookie di sessione improvvisato.
• Togliere un prodotto dalle password: passkey, TOTP, chiavi legate al dispositivo e un recupero che non sia una porta di servizio.
• Trattare bene le chiavi sul mobile: archiviazione sicura, biometria e un piano per il dispositivo perso.
• Rivedere un sistema esistente sui guasti ordinari: OWASP, gestione dei token, controllo degli accessi, input al confine di fiducia.
• Portare la pratica dello sviluppo sicuro nella routine di una squadra, perché la sicurezza smetta di essere il panico della settimana di rilascio.

Da dove viene

1. 2025 —

   ASMB Tech

   Toqen.app: architettura di un ecosistema senza password in Zero Trust. Provider OIDC su Node.js con Jose, Argon2 e TOTP, client multipiattaforma con archiviazione delle chiavi supportata dall'hardware e un SDK pubblico TS/JS per integrazioni di terzi.

2. 2023 — 2025

   Yandex

   Autorizzazione e comunicazione protetta fra servizi nel pannello B2B di Lavka; revisione del codice con occhio alla sicurezza e gestione degli accessi.

3. 2019 — 2022

   Sber

   Un'interfaccia isolata per lavorare con documenti esecutivi sensibili di fronte ai registri statali. Standard di sviluppo sicuro e tipizzazione stretta che hanno rimosso intere classi di errori di inserimento.

4. 2016 — 2019

   CloudLink

   Un sistema di fatturazione di servizi comunali con transazioni finanziarie e dati personali.