securityintronational

玄関の鍵、どこまで信頼しますか？「javascript:」スキームという盲点こんにちは。日々の開発、本当にお疲れ様です。セキュリティの世界に足を踏み入れると、「SQLインジェクション」や「クロスサイトスクリプティング（XSS）」といった強そ...

CSP違反レポート：ただのログと侮るなかれ、それは「攻撃者の足跡」そのものだ多くの現場で、Content Security Policy (CSP) は「面倒な制約」として扱われている。開発の最終段階でとりあえず導入し、コンソールに吐き出さ...

CSP違反レポート：攻撃の「予兆」を捉えるための最前線運用術現場でインシデント対応をしていると痛感するのだが、多くのエンジニアが「CSP（Content Security Policy）は厳しく設定すればするほど画面が壊れる」という恐怖心か...

「知らない間に泥棒が家に入っていた…」を防ぐ！CSP違反レポートでサイトの異常をいち早く察知する方法こんにちは！セキュリティの現場で日々、防御の最前線に立っている者です。今日は、Webサイトを「泥棒（攻撃者）から守るための強力な警備システム...

「ブラウザのお節介」が命取り？X-Content-Type-Optionsで防ぐ、見えない泥棒の侵入経路こんにちは。セキュリティの世界へようこそ。日々、コードを書いたりサーバーを管理したりしていると、「セキュリティ対策」という言葉が少し重た...

セッションハイジャックの終焉：HttpOnly属性が守る「ブラウザの聖域」多くのエンジニアが「XSS対策にはHttpOnlyを付ければいい」と教えられている。教科書的には正しい。だが、なぜそれが有効なのか、そして攻撃者がその「壁」を突破しよ...

なぜ、あなたの「HttpOnly」設定は、ザルなのか？ ― セッションハイジャックを根絶する防衛術現場のエンジニア諸君。コードレビューをしていると、今でも「XSSさえ防げればCookieなんてなんとかなる」という甘い考えに遭遇する。断言しよ...

あなたの「家の鍵」は丸見えになっていませんか？XSSとHttpOnlyで守るセッションの鉄則こんにちは！セキュリティの世界へようこそ。システム開発の現場で「セキュリティ」と聞くと、なんだか難しそうで、教科書を広げた瞬間に眠くなってしまう……...

eval() との決別：JavaScriptにおける動的実行が招く「境界なき悪夢」現場でコードレビューをしていると、今でも時折、魔が差したかのような eval() や、文字列を引数に取る setTimeout() に遭遇する。これらは単なる...

「eval()は悪魔の扉」― 動的コード実行が引き起こす惨劇と、明日から捨てるべき悪しき習慣現場でコードレビューをしていると、未だに eval() を使った実装に出くわすことがある。「動的に処理を切り替えたい」「JSONのパースが面倒だった...