こんにちは！セキュリティの世界へようこそ。
新人のIT担当者や、これからセキュリティの勉強を始める開発者の皆さん、日々の業務お疲れ様です。
「セキュリティ」と聞くと、なんだか難解な暗号や、見たこともないプログラムの呪文が並んでいて、頭がクラクラしてしまいますよね。でも、安心してください。セキュリティの基本原則は、私たちが普段暮らしている「現実世界の防犯」と全く同じなんです。
今回は、OWASP Top 10（Webアプリケーションの脆弱性ランキング）でも常に上位に君臨する、「A07:2021 – 識別および認証の不備（Identification and Authentication Failures）」について、身近な例えを交えながら、一歩ずつ優しく紐解いていきましょう！
—
1. 認証の不備とは？ 家の鍵に例えて考えてみよう
まずは、アプリケーションにおける「認証（Authentication）」がどんなものか、皆さんの「お家」を想像して考えてみてくださいね。
皆さんがお出かけするとき、玄関のドアに鍵をかけますよね。この「鍵」は、「私はこの家の住人です（＝識別）」という証明であり、合鍵を持っている人だけが入れるようにする仕組みです。
もし、この玄関の鍵が…
- 「1234」という簡単な番号だけで開いてしまう
- 何回間違えても、泥棒が無限に番号を試すことができる
- 「鍵」を持っていなくても、合言葉（パスワード）だけで簡単に入れてしまう
こんな状態だったらどうでしょう？怖くて夜も眠れませんよね。Webアプリケーションにおける「認証の不備」とは、まさにこの「ガバガバな玄関の鍵」を放置している状態を指しています。
攻撃者は、この甘いセキュリティの隙を突いて、不正にシステムへ侵入しようと狙っています。では、彼らは一体どのようにして私たちのシステムを崩そうとするのでしょうか？ 次はその手口を見ていきましょう。
—
2. 泥棒の手口を知る：ブルートフォース攻撃の脅威
攻撃者がよく使う手口の一つに、「ブルートフォース攻撃（総当たり攻撃）」があります。
これは、泥棒があらゆる組み合わせのピッキングツールを片っ端から試して、ガチャガチャと鍵を開けようとする行為にそっくりです。コンピュータの計算能力を使えば、人間には到底真似できないスピードで、何千、何万回ものパスワードの組み合わせを試すことができます。
もし、私たちのシステムが以下の状態だったらどうなるでしょうか？
1. パスワードが password123 のように単純である
2. 何回パスワードを間違えても、システムが「おや？」と気づかず、永遠に試行瀬るを許してしまう
結果は目に見えていますよね。あっという間に突破され、不正アクセスを許してしまいます。
だからこそ、私たちは「パスワードの強化」「アカウントロックアウト」「多要素認証（MFA）」という、3つの強力な防犯対策を組み合わせる必要があるのです。
—
3. 具体的な対策を学ぼう！
それでは、明日からでも実務で使える具体的な対策を順番に見ていきましょう。一歩ずつ確実に進めれば大丈夫ですよ！
対策①：パスワードポリシーの強化
まずは、簡単に破られてしまうような「弱いパスワード」を使わせない仕組み作りです。
- 十分な長さの確保: 最低でも12文字以上を推奨しましょう。
- 文字種の混在: 英大文字、小文字、数字、記号を組み合わせてもらいます。
- 辞書にある単語の禁止:
passwordやadminなどの推測されやすい文字列は弾くようにします。
例えば、ユーザー登録画面のバックエンド（PHPなど）でバリデーションを行う場合、以下のようなコードでパスワードの強度をチェックします。
<?php
/**
* パスワードの強度をチェックするサンプル関数
* 新人の皆さん、実務ではこうしたバリデーションが玄関の最初の門番になります！
*/
function validatePassword($password) {
// 文字数が12文字未満の場合はエラー
if (strlen($password) < 12) {
return "パスワードは12文字以上である必要があります。";
}
// 大文字、小文字、数字、記号が含まれているか正規表現でチェック
if (!preg_match('/[A-Z]/', $password) ||
!preg_match('/[a-z]/', $password) ||
!preg_match('/[0-9]/', $password) ||
!preg_match('/[\W_]/', $password)) {
return "パスワードには大文字、小文字、数字、記号をそれぞれ1文字以上含めてください。";
}
return true; // チェッククリア
}
?>対策②：ブルートフォース攻撃を防ぐアカウントロックアウト
次に、泥棒がガチャガチャと何度も鍵を試すのを阻止する仕組みです。
現実世界でも、何回も間違った暗証番号を入力すると、ATMやスマートフォンの画面がロックされて一定時間使えなくなりますよね。あれと同じことをWebアプリでも実装します。
- 失敗回数の制限: 例えば「連続で5回間違えたら」アカウントを一時的にロックします。
- ロック時間の設置: 「15分間」ログインを受け付けなくすることで、総当たり攻撃のスピードを極端に落とします。
データベース（MySQLなど）でログイン失敗回数を管理するイメージをコードで見てみましょう。
<?php
/**
* ログイン失敗時のロックアウト処理の概念コード
*/
$max_attempts = 5; // 許容する最大失敗回数
$lockout_time = 900; // ロック時間（15秒 ＝ 900秒）
// ユーザーがパスワードを間違えた場合
function handleLoginFailure($user_id, $current_attempts) {
global $max_attempts;
$new_attempts = $current_attempts + 1;
if ($new_attempts >= $max_attempts) {
// 失敗回数が上限を超えたら、現在時刻＋ロック時間を保存してロック状態にする
$lock_until = time() + 900;
// 例: UPDATE users SET failed_attempts = :attempts, locked_until = :lock_until WHERE id = :id;
return "アカウントがロックされました。15分後にもう一度お試しください。";
} else {
// 失敗回数をインクリメント
// 例: UPDATE users SET failed_attempts = :attempts WHERE id = :id;
return "パスワードが間違っています。あと " . ($max_attempts - $new_attempts) . " 回間違えるとロックされます。";
}
}
?>対策③：多要素認証（MFA）の強制
「パスワード」という「知っている情報（知識要素）」だけでは、万が一パスワードが漏れたときに防ぎきれません。そこで登場するのが多要素認証（MFA: Multi-Factor Authentication）です。
これは、家に入るときに「鍵（知識要素）」だけでなく、本人しか持っていない「指紋認証やワンタイムパスワード（所持要素）」を組み合わせるようなものです。
近年では、スマートフォンアプリ（Google Authenticatorなど）を使ったTOTP（Time-based One-Time Password）や、SMS、生体認証を組み合わせることが標準的になっています。ログイン画面のUI設計でも、パスワード入力のあとに必ずワンタイムコードの入力を挟む導線設計を心がけましょう。
—
4. まとめ：強固なセキュリティは日々の積み重ねから
今回は、OWASP Top 10の「識別および認証の不備」について、お家の防犯に例えながら解説しました。
- パスワードポリシーで、簡単に見破られない頑丈な鍵を作る
- アカウントロックアウトで、泥棒の無限アタックを食い止める
- 多要素認証（MFA）で、鍵以外の防犯ロック（二重の扉）をかける
どれか一つだけでは不十分です。これらを組み合わせて、総合的にシステムの安全性を高めていくことが大切です。
難しく感じるかもしれませんが、一歩ずつコードの意味を理解し、正しい設定を積み重ねていけば、必ず堅牢なシステムを作ることができます。
一緒に、安全で信頼されるWebアプリケーションを作っていきましょうね！
コメント