こんにちは！現場の最前線でセキュリティと格闘しているエンジニアの皆さん。今日は、Webアプリ開発の登竜門でありながら、実は非常に奥が深い「OAuth 2.0」のセキュリティ、特に「認可コード」という鍵の守り方についてお話しします。
「OAuth」という言葉を聞くと難しく感じるかもしれませんが、大丈夫です。一歩ずつ、身近な例えを交えながら、攻撃者の視点を封じ込めるための鉄則を紐解いていきましょう。
—
1. 認可コードは「使い捨ての合鍵」であるべき
皆さんの家の玄関の鍵を想像してみてください。もしその鍵が、「一度使ったら二度と開かなくなる魔法の鍵」だったら、すごく安全だと思いませんか？
OAuthにおける「認可コード」もこれと同じです。ユーザーがログインに成功すると、サーバーから「このユーザーは正当な人だよ」という証明として認可コードが発行されます。アプリはそのコードを持って「アクセストークン（いわば本物の通行証）」をもらいに行くのですが、この認可コードがもし誰かに盗まれて、何度も使い回されたらどうなるでしょう？
攻撃者は、その盗んだコードを使って、あなたの代わりに何度でも通行証を要求できてしまいます。これが「認可コードの再利用攻撃」のメカニズムです。
2. なぜ「短寿命」と「ワンタイム」が必須なのか？
先ほどの例えを続けると、認可コードは「玄関の前に落ちている一時的な通行許可証」のようなものです。
- ワンタイム（一度きり）: 一度通行証を受け取ったら、その許可証は即座に無効化されるべきです。たとえ誰かが拾っても、既に使用済みなら役に立ちませんよね。
- 短寿命（超短期）: 発行から数分以内に使わなければ、自動的に消滅するように設定します。万が一、攻撃者がコードを盗み見ても、数分後にはただの紙切れ（無効な文字列）になっていれば、被害を未然に防げるわけです。
3. 実装の現場で気をつけるべき「サーバーサイドの鉄則」
では、実際にコードを書くときに何をすべきか。最も大切なのは、「サーバー側で状態を厳密に管理する」ことです。
サーバー側のロジック例（概念的な実装）
認可コードが送られてきたとき、サーバーは以下のチェックリストを必ず通す必要があります。
def exchange_code_for_token(auth_code):
# 1. データベースからコードを探す
code_record = db.find_code(auth_code)
# 2. 存在チェック（存在しないコードはエラー）
if not code_record:
raise SecurityError(“無効なコードです”)
# 3. 有効期限チェック（例：発行から3分経過していたらアウト）
if is_expired(code_record.created_at, limit=3):
db.delete_code(auth_code) # 期限切れは即削除
raise SecurityError(“コードの有効期限が切れています”)
# 4. ワンタイム制の強制（ここが最重要！）
# コードを検証する前に「使用済み」フラグを立てる、またはDBから削除する
db.delete_code(auth_code)
# ここで初めてアクセストークンを発行する
return generate_access_token(code_record.user_id)
ポイント:
「コードを検証し、アクセストークンを発行する」という処理の直前に、必ずDBからそのコードを削除または「使用済み」に更新してください。 処理の順番を間違えると、同時に2回リクエストが来たときに、両方通ってしまう「レースコンディション」という隙が生まれてしまいます。
4. 運用ポリシーとしての推奨値
「どのくらい短くすればいいの？」という疑問に対し、セキュリティの現場での推奨設定をお伝えします。
- 有効期限: 最大でも 1分〜5分 に設定しましょう。
- リダイレクトURIの厳密な照合: 認可コードを発行したときと、トークンを要求するときのリダイレクト先（Redirect URI）が一致しているかも必ずチェックしてください。これも攻撃者が「別の場所」にコードを送ろうとするのを防ぐ重要な盾になります。
最後に：完璧なセキュリティなんて存在しない、だからこそ
「一度使ったら消える鍵」と「数分で消える鍵」。この二つを組み合わせるだけで、攻撃者の手元には「使えないゴミ」しか残りません。
セキュリティの世界では、システムをガチガチに固めることも大事ですが、「もし盗まれたとしても、すぐに無効化される仕組み」を作っておくことが、実は最強の防御になります。
皆さんが書くその一行のコードが、ユーザーの大切な情報を守る「頑丈な鍵」になるはずです。まずは自分のサーバーで、認可コードが「使い捨て」になっているか、ログを確認することから始めてみませんか？
これからも、安全で楽しい開発ライフを応援しています！何か疑問があれば、いつでも聞いてくださいね。
コメント