securityintronational

玄関の鍵、かけたはずなのに？ IDトークン検証で「なりすまし」を防ぐ極意こんにちは。セキュリティの世界へようこそ。今日は、モダンなWebアプリ開発で避けては通れない「OpenID Connect（OIDC）」の、少し地味だけど命取りになる「...

OAuth 2.0の「state」は単なる文字列ではない：CSRFから身を守るための深層防衛論「OAuth 2.0のstateパラメータなんて、ただのランダムな文字列を送って戻ってきたら比較するだけでしょ？」もし君が設計レビューでそんな言葉...

OAuth 2.0の「Stateパラメータ」を疎かにするな：CSRFを許さないための実装論現場でコードレビューをしていると、OAuth 2.0の実装で「とりあえず動くから」とstateパラメータを省略したり、固定値を入れていたりするエンジニ...

こんにちは。セキュリティの世界へようこそ。日々、見えない脅威と戦っているエンジニアの皆さん、あるいはこれから開発の現場に立つ新人の皆さん、いつもお疲れ様です。今日は、Web開発の現場で避けては通れない「OAuth 2.0」という仕組みと、そ...

「カスタムヘッダーさえあれば大丈夫」は罠？CSRF防御の盲点をエンジニア視点で紐解くこんにちは。現場で泥臭いインシデント対応をしていると、「これさえやっておけば絶対安全」という言葉ほど怖いものはないと痛感します。今回は、Web開発の現場でよ...

ステートレスなCSRF対策の陥穽：ダブルサブミットクッキー（DSC）の深淵と「境界」の危うさ多くのアーキテクトが「セッション管理は面倒だ」とこぼす。サーバーサイドのメモリを消費し、分散システムではRedis等の外部ストアを介したセッション共...

ステートレスな環境でのCSRF対策：ダブルサブミットクッキー法の「真実」と「罠」やあ。現場で泥をすすりながらシステムを守り抜いている諸君、お疲れ様。今日は、多くのエンジニアが「なんとなく」実装し、そして「なんとなく」突破されるCSRF（クロ...

玄関の鍵を閉めても「勝手に開けられる」？CSRFという泥棒の手口と、その対策こんにちは。セキュリティの世界へようこそ。日々、開発の現場で「セキュリティ対策をしましょう」と言われても、「正直、何から手をつけていいか分からない」「専門用語が多す...

PKCEは「気休め」か「防波堤」か：認可コード横取り攻撃の深層と実装の罠セキュリティエンジニアの諸君。OAuth 2.0のフローを設計する際、PKCE (Proof Key for Code Exchange) を「とりあえず入れとくべきお...

認可コード横取りの「死角」を突く：PKCEがなぜ「必須」なのか、現場の視点で語ろうこんにちは。インシデント対応の最前線にいると、「なぜこんな初歩的な設計ミスが？」と溜息をつきたくなる瞬間が多々あります。特にOAuth 2.0のフロー、君たち...