「その鍵、家中の全部を開けられますか？」OpenID Connectで学ぶ、最小権限の防犯ルール
こんにちは。セキュリティの世界で泥臭い現場を歩んできたライターです。
今日は、開発現場でよく聞く「OpenID Connect（OIDC）」と「アクセストークン」の話をしましょう。これ、一見すると難しそうに見えますよね。「スコープ？ エンドポイント？ 何それおいしいの？」という状態から、今日で卒業しましょう。
実はこれ、「家の鍵」と「泥棒」の仕組みを知るだけで、驚くほどスッキリ理解できるんです。
—
1. アクセストークンは「合鍵」である
まずはイメージしてください。あなたの家には、リビング、寝室、そして大事な書類が入った金庫があります。
OIDCにおける「アクセストークン」は、まさにこの「家に入るための鍵」です。
認証が通ったとき、システムはこの「鍵」を発行します。アプリケーションは、この鍵を提示することで、あなたの代わりに「UserInfoエンドポイント（ユーザー情報が詰まっている場所）」にアクセスし、名前やメールアドレスといった情報を取得するわけです。
ここで、セキュリティの鉄則である「最小権限の原則」が登場します。
もし、あなたが「庭の草むしりをお願いしたいだけ」なのに、「家中のすべての部屋に入れて、金庫も開けられるマスターキー」を渡してしまったらどうでしょう？ もしその鍵を落としたら……想像するだけでゾッとしますよね。
2. なぜ「スコープ」が重要なのか？
「スコープ」とは、いわば「この鍵で開けていい範囲」を記したタグのようなものです。
openid: 「ログインしたこと」を証明する（玄関を開ける権利）profile: 名前やアイコン画像などを見る権利（リビングに入る権利）email: メールアドレスを見る権利（書斎に入る権利）
もし攻撃者が万が一アクセストークンを盗み出したとしても、スコープが適切に制限されていれば、被害を最小限に食い止められます。例えば「名前しか取れない鍵」を盗んでも、攻撃者はメールアドレスや機密情報を覗き見ることはできません。
これが、「スコープの絞り込み」が最強の防犯対策と言われる理由です。
3. 実務でやるべき「スコープ制限」のコード例
開発者が実装する際、つい「とりあえず全部のスコープを渡しておこう」としがちですが、それは「マスターキーを配る」のと同じです。必要なものだけを選びましょう。
例えば、ユーザーの情報を取得するリクエストを送る際は、以下のようにスコープを限定します。
// OIDCプロバイダーへのリクエスト例
const authRequest = {
// 必要最小限のスコープだけを要求する
// 今回は「ログイン確認」と「名前」だけで十分！
scope: ‘openid profile’,
// もしメールアドレスが必要ないなら、’email’は絶対に入れない
// scope: ‘openid profile email’, // ←これは過剰！必要な時だけにする
response_type: ‘code’,
client_id: ‘your_client_id’,
redirect_uri: ‘https://your-app.com/callback’
};
—
4. もし「UserInfoエンドポイント」が狙われたら？
攻撃者は、あなたが発行したアクセストークンを、あの手この手で盗もうとします（インジェクション攻撃や、ブラウザの脆弱性を突く方法など）。
そこで守りを固めるために、以下の3つを心に留めておいてください。
1. トークンの有効期限は短く： 鍵が盗まれても、すぐに無効になれば被害は小さいです。「1時間で消える魔法の鍵」にするのが定石です。
2. HTTPSは必須： 鍵を渡すときは、誰にも見られない「暗号化されたトンネル」を通してください。
3. UserInfoエンドポイントの確認： サーバー側では、「このトークンには本当にprofileスコープが含まれているか？」を必ずチェックします。
サーバー側のチェック（擬似コード）
def get_user_info(access_token):
# トークンからスコープを解析
scopes = decode_token_scopes(access_token)
# 「プロファイル」の権利があるか確認してから処理する
if ‘profile’ not in scopes:
return “エラー：この鍵ではユーザー情報にアクセスできません！”, 403
# 処理実行
return fetch_user_data_from_db()
—
最後に：セキュリティは「泥臭い積み重ね」です
「スコープを絞る」という行為は、派手なハッキング技術を止めるものではありません。しかし、「攻撃者にできることを減らす」という、極めて現実的で効果の高い防御です。
家を頑丈な金庫にするのも大事ですが、まずは「必要のない鍵を配らない」こと。これが、世界トップレベルの現場でも変わらない、最も重要なセキュリティの第一歩です。
まずは今日、皆さんが開発しているアプリのスコープ設定を覗いてみてください。「本当にその権限、必要ですか？」と問いかけるだけで、あなたのアプリの安全性はグッと高まりますよ。
一歩ずつ、一緒に強くなっていきましょう！
コメント