securityintronational

パスワード保護の「現在地」：なぜ今、Argon2への移行が不可欠なのか現場でインシデント対応をしていると、「パスワードをSHA-256でハッシュ化しています」という言葉を聞いて背筋が凍ることがよくある。2024年の今、それをやるのは「家の鍵...

こんにちは。セキュリティの世界へようこそ。「パスワードを保存するときはハッシュ化しなさい」と教わったことはあるでしょう。でも、なぜ「ただのハッシュ化」では不十分なのか、なぜ「ソルト」や「ストレッチング」という少し面倒な手順が必要なのか、その...

権限昇格の深層：ID改ざんを暴くためのログ相関と「文脈」のエンジニアリングセキュリティアーキテクトやテックリード諸君。OWASP Top 10の「不適切なアクセス制御（A01:2021）」を単なる教科書的な知識として処理していないだろうか。...

現場のエンジニア諸君、今日も泥臭いデバッグとログの海にお疲れ様。セキュリティの世界で「完璧な防御」などという幻想を抱いている奴は、最初のインシデントで心が折れる。我々が対峙しているのは、機械的な攻撃ツールだけじゃない。URLのパラメータを書...

泥棒は「玄関の鍵」を壊さない？——権限昇格という「見えない侵入」を防ぐためのログ監視入門こんにちは。セキュリティの世界へようこそ。「セキュリティ」と聞くと、多くの人は「強固な防壁を築くこと」を想像しますよね。でも、実際のサイバー攻撃は、意外...

IDORの「本質」：IDを隠すな、境界を疑え多くのエンジニアがIDOR（Insecure Direct Object Reference）を「URLパラメータのIDを推測される脆弱性」と捉えている。だが、現場で死線を越えてきた我々にとって、...

認可の穴を塞げ：IDOR（ID参照の脆弱性）を「設計の常識」で殺す技術現場でインシデント対応をしていると、SQLインジェクションやXSSよりも遥かにタチが悪いと感じるのが「IDOR（Insecure Direct Object Refere...

こんにちは。セキュリティの現場で長年、泥臭いインシデント対応や防御設計の最前線に立っている者です。今日は、開発者なら誰もが一度は耳にするけれど、実は一番「やらかしやすい」脆弱性、IDOR（Insecure Direct Object Ref...

ORMの「魔法」が招く地獄：プリペアドステートメントの真実とネイティブクエリの暗部ORM（Object-Relational Mapping）を「データベース操作を簡単にするツール」と定義しているうちは、君のアプリケーションはいつまで経って...

ORMという「甘い罠」：なぜあなたのコードはSQLインジェクションを許すのか現場でコードレビューをしていると、未だに「ORMを使っているからSQLインジェクションは大丈夫ですよね？」という若手エンジニアの問いかけに出くわす。結論から言おう。...