securityintronational

「少しずつ渡した鍵」が、いつの間にかマスターキーに？OAuth 2.0のインクリメンタル認可の落とし穴こんにちは！セキュリティの世界へようこそ。今日は、モダンなWebアプリ開発で避けて通れない「OAuth 2.0のインクリメンタル認可」とい...

認証の「静寂」を設計せよ：ユーザー列挙攻撃と情報理論的アプローチ多くのエンジニアが「ユーザーが存在しません」というエラーメッセージを「セキュリティ上の配慮」として汎用的なものに差し替える。だが、現場のホワイトハッカーから見れば、それは「入り...

ログイン画面は「攻撃者の入り口」だ。なぜ「ユーザーが存在しません」と言ってはいけないのか？現場でコードレビューをしていると、未だに「親切すぎる」エラーメッセージに出くわすことがある。「ご入力いただいたメールアドレスは登録されていません」——...

こんにちは。セキュリティの世界へようこそ。現場でバリバリコードを書いているエンジニアの皆さん、あるいは「セキュリティって何から手をつければいいの？」と悩んでいるIT担当者の皆さん。今日は、セキュリティの「入り口」でありながら、意外と見落とさ...

OIDCの罠：UserInfoエンドポイントにおける「スコープ過剰付与」という静かなる崩壊セキュリティアーキテクトとして多くのコードベースを監査してきたが、IDトークンやアクセストークンの検証については、「標準プロトコルに従っているから安全...

なぜ「アクセストークンがあればUserInfoが叩ける」という油断が、致命傷になるのか現場でコードレビューをしていると、必ずと言っていいほど目にする「やらかし」がある。それは、「OIDCのアクセストークンさえあれば、UserInfoエンドポ...

ログインしたのに「別の人の情報」が見えてしまう？OIDCの落とし穴と「鍵の管理」の話こんにちは！セキュリティの世界へようこそ。今日は、開発の現場で意外と見落とされがちな「UserInfoエンドポイントでのスコープ検証」についてお話しします。...

セッション管理の「虚像」を暴く：IP/User-Agentフィンガープリントの限界と次世代のアーキテクチャ「IPアドレスとUser-Agentでセッションを固定する」。Web開発の初期段階で誰もが一度は設計するこの手法は、現代のモバイル通信...

セッション固定化の亡霊：IP/UA固定は「気休め」か「盾」か現場でコードレビューをしていると、今でも「セッションIDを盗まれたら怖いから、IPとUser-Agentをセッションに紐付けて検証しよう」という設計に出くわすことがある。一見すると...

こんにちは！セキュリティの世界へようこそ。私は普段、企業の守りを固める仕事をしていますが、今日は「セッション管理」という、Webサイトの「鍵」を守るための非常に重要なテーマについてお話しします。セキュリティと聞くと難しく感じますが、実は私た...