認証の「ザル」を締めろ：IDトークンの検証をサボるな、それが君のシステムの命取りだ
やあ。現場の最前線で戦うエンジニア諸君。今日は、アプリケーションセキュリティの根幹を揺るがす「IDトークンの検証不備」について、耳の痛い話をしよう。
最近のWeb開発では、GoogleやAuth0、あるいは自前のIdentity Provider（IdP）を使ってOpenID Connect (OIDC) を実装するのが当たり前になった。だが、多くの現場で「IDトークンをデコードして、中身のメールアドレスを取り出せば認証完了」という、極めて危険な実装を見かける。
君たちが「便利だから」と使っているそのライブラリ、あるいはその数行のコードが、実は巨大なセキュリティホールになっている可能性が高い。今日はその核心に切り込む。
—
1. なぜ aud と iss の検証が「必須」なのか
IDトークン（JWT）は、単なるユーザー情報の運び屋ではない。それは「特定の信頼できる発行者が、特定のアプリのために発行した証明書」だ。
もし君のアプリが iss（発行者）と aud（対象読者）を検証していない場合、何が起きるか？
攻撃シナリオ：IDトークンの「流用」攻撃
攻撃者は、君のアプリと同じIdPを利用している別のアプリ（あるいは攻撃者が用意した悪意あるアプリ）でログインし、自分のIDトークンを手に入れる。このトークンには、攻撃者の正当な署名がついている。
このトークンを、君のアプリのログインエンドポイントに送り込むとどうなるか？
issを見ない場合： 信頼できない第三者が発行したトークンでも、署名が正しければ君のアプリは受け入れてしまう。audを見ない場合： 本来、別のアプリに向けて発行されたトークンであっても、君のアプリはそれを「自分宛てのもの」だと勘違いしてログインを許可してしまう。
結果、攻撃者は君のシステム上で他人のセッションを乗っ取ることができる。これが「なりすまし」の正体だ。
—
2. 【Python】PyJWTを用いたセキュアな実装コード
多くのエンジニアが「署名の検証」まではやる。だが、クレームの検証は忘れがちだ。以下のコードは、最低限守るべき「硬い」実装だ。
import jwt
def verify_id_token(token, jwks_client):
“””
IDトークンを検証するセキュアな関数
“””
# 1. 署名を検証（JWKSから公開鍵を取得）
signing_key = jwks_client.get_signing_key_from_jwt(token)
# 2. クレームの検証（これが本題）
payload = jwt.decode(
token,
signing_key.key,
algorithms=[“RS256″],
audience=”YOUR_CLIENT_ID”, # ここが aud の検証
issuer=”https://accounts.google.com” # ここが iss の検証
)
# 3. exp（有効期限）の検証はライブラリが自動で行うが、
# 念のため現在時刻と比較するロジックを忘れてはならない
return payload
ポイント:
audienceパラメータには、必ず自身のアプリに割り当てられたClient IDをハードコードせよ。issuerパラメータには、IdPのドキュメントに記載された正確なURLを指定せよ。- これを省略すると、ライブラリは「署名さえ合っていればOK」と判断してしまう。
—
3. 実務で「絶対にやるべき」チェックリスト
コードを実装する前に、以下の3点を常に確認してほしい。
1. aud は自分の Client ID と一致しているか？
- 複数のクライアントIDを使い回している場合、リスト形式で渡せるライブラリを選定すること。
2. iss は信頼できるIdPのURLか？
- 設定ファイル（
.env等）から読み込ませ、コード内に直接https://attacker.comなどが混入しないように環境分離を徹底せよ。
3. exp（有効期限）と iat（発行時刻）の乖離を確認したか？
- 極端に古いトークンや、未来の日付が書かれたトークンを弾く処理をライブラリ任せにせず、設定値（Clock Skewなど）を適切にチューニングせよ。
—
4. 最後に：セキュリティは「性悪説」で考えろ
「ライブラリがよしなにやってくれるだろう」という甘えが、インシデントの最大の温床だ。攻撃者は、開発者がドキュメントの「詳細設定」を読み飛ばす瞬間を常に狙っている。
OIDCは複雑な仕様だが、その複雑さこそが防御の要になっている。IDトークンは、君のアプリケーションの玄関の鍵だ。その鍵が「誰からのものか（iss）」と「誰宛てのものか（aud）」を確認しない鍵屋なんて、存在してはいけないだろう？
今日から、君のコードベースにある jwt.decode をすべて検索してくれ。そこに audience や issuer の指定が抜けていたら、それが君の今日の最初の修正タスクだ。
現場からは以上だ。また次の戦場で会おう。健闘を祈る。
コメント