こんにちは。現場で泥をすすりながらセキュリティの最前線を守っているエンジニアの皆さん、お疲れ様です。
今日は「コードにパスワードを書くな」という、セキュリティの格言中の格言について、少し違った角度からお話ししようと思います。なぜそれが重要なのか、そしてどうやって「泥棒に家の鍵を渡さない」仕組みを作るのか。新人の方にもわかるように、身近な例えで紐解いていきましょう。
—
1. なぜ「環境変数」だけでは不安なのか？
多くの開発現場では、APIキーやデータベースのパスワードを「環境変数」として管理していますよね。でも、ちょっと想像してみてください。
皆さんの家の玄関の鍵、近所の掲示板に「我が家の合鍵の場所はこちら」って張り出したりしませんよね？環境変数というのも、実はそれに近い状態なんです。
- ログへの混入: エラーが発生したとき、うっかり環境変数の内容までログファイルに出力されてしまったら？
- 権限の乗っ取り: サーバーに侵入した攻撃者が
envコマンドを叩けば、すべての秘密情報が丸見えになってしまいます。 - 共有の罠: 開発環境で共有している設定ファイルが、うっかりGitの公開リポジトリにプッシュされたら……それが「デジタルな合鍵の紛失」です。
2. そもそも「XSS」って何？という話
シークレット管理の話をする前に、これを悪用する代表的な攻撃「XSS（クロスサイトスクリプティング）」について触れておきます。
XSSは、Webサイトに「偽物の掲示板の書き込み」を仕込むようなものです。皆さんが信頼して見ているサイトに、攻撃者が「ここをクリックして！」という罠を仕込む。そのリンクを踏むと、皆さんのブラウザに保存されている「セッション情報（鍵）」が攻撃者に盗まれてしまうわけです。
もし、ソースコードに秘密情報が埋め込まれていて、それが画面に表示されるようなミスがあれば、攻撃者はその鍵を使って皆さんのバックエンドを操り放題になります。だからこそ、「鍵をコードから切り離す」ことが、XSSのような攻撃の被害を最小限に抑えるための最優先事項なんです。
—
3. 次世代の鍵管理：シークレットマネージャーへの移行
これからのセキュリティの正解は、「鍵を金庫（シークレットマネージャー）に預けて、必要な時にだけ取り出す」という運用です。AWS Secrets ManagerやHashiCorp Vaultは、まさにこの「高機能な金庫」です。
どうやって実装するのか？（AWSの例）
コードに直接パスワードを書く代わりに、SDKを使って「金庫から鍵を借りる」実装に変えましょう。
import boto3
import json
from botocore.exceptions import ClientError
def get_secret():
# 接続先を設定
secret_name = “prod/db/password”
region_name = “ap-northeast-1”
# セキュリティの扉を開けるためのクライアントを作成
session = boto3.session.Session()
client = session.client(service_name=’secretsmanager’, region_name=region_name)
try:
# 金庫から秘密情報を取得
get_secret_value_response = client.get_secret_value(SecretId=secret_name)
except ClientError as e:
# 鍵が盗まれたり、設定が間違っている場合はここでしっかり止める
raise e
# 取得した情報を辞書形式で展開
secret = json.loads(get_secret_value_response[‘SecretString’])
return secret[‘password’]
これでパスワードがソースコードを汚染することはありません
db_password = get_secret()
このように実装すれば、万が一ソースコードが流出しても、攻撃者の手元にあるのは「金庫の住所」だけ。金庫を開けるための権限（IAMロールなど）がない限り、秘密情報は守られます。
—
4. 最後に：防御ヘッダーは「門番」
最後に、XSS対策として必ず設定してほしい「防御ヘッダー」について。これはWebサイトの門番です。
- Content-Security-Policy (CSP): 「このサイトでは、許可していない場所からのスクリプト読み込みを禁止する！」という強力な命令です。
- HttpOnly属性: クッキーにこの属性をつけると、「JavaScriptからはこの鍵（クッキー）を盗めないようにする」という制限がかかります。
これらは、泥棒が窓を割って侵入しようとしても、「そこからは入れないよ！」と弾き返すための仕組みです。
—
締めくくり：セキュリティは「継続的な掃除」
セキュリティ対策に「これで完璧！」というゴールはありません。でも、「鍵をコードから切り離す」「門番（ヘッダー）を置く」という一歩を踏み出すだけで、攻撃者から見れば「ここの家は頑丈そうだから、次へ行こう」と思わせる隙のない防犯体制が整います。
まずは、皆さんのプロジェクトの環境変数を見直すところから始めてみてください。それが、一番の近道ですよ。
一歩ずつ、着実に。現場からは以上です！
コメント