securityintronational

なぜ「リダイレクト先の指定」が命取りになるのか？— 認可サーバーの守り方こんにちは。セキュリティの世界へようこそ。今日は、Webサービスで避けては通れない「ログイン」や「SNS連携」の裏側にある、非常に重要で、かつ見落とされがちな「リダイレ...

JWTの「ステートレス」という幻想を捨てる：ブラックリスト管理の現実的設計JWT（JSON Web Token）を設計する際、多くのエンジニアが「ステートレスであること」を美徳と信じ込む。だが、実戦の現場においてそれは往々にして「無防備であ...

ステートレスの幻想を捨てる：JWT即時無効化を「現実的」に実装する戦略「JWTはステートレスだから、ログアウト処理はクライアント側でトークンを破棄するだけで十分だ」もし君がまだそう信じているなら、今すぐその考えを捨ててほしい。その認識は、攻...

こんにちは。セキュリティの世界へようこそ。日々、システムを守る最前線にいると、「完璧な鍵なんて存在しない」という事実に直面します。でも、だからこそ面白い。今日は、開発現場で誰もが一度は悩み、そして一度は挫折しがちな「JWTのログアウト」とい...

OAuth 2.0の「State」はただの文字列ではない ― CSRF対策の深淵と実装の罠セキュリティアーキテクトであれば、OAuth 2.0の認可フローにおいてstateパラメータがCSRF（Cross-Site Request Forg...

OAuth 2.0の「state」パラメータを省略するな ― 認証のドアを全開にするCSRFリスクと実務的防衛策エンジニア諸君、日々コードを叩き、デプロイに追われる中で「とりあえず動く」を優先したくなる気持ちは痛いほど分かる。だが、セキュリ...

「OAuth 2.0のstateパラメータ？ なんだか難しそう…」そう思ったあなた、大丈夫です。今日は、セキュリティの世界では「基本中の基本」と言われながら、実は現場で一番見落とされがちな「stateパラメータの重要性」について、難しい専門...

クッキーの属性は「気休め」か？：セッション管理の深層心理と防衛アーキテクチャ「クッキーにSecure、HttpOnly、SameSiteを付けろ」。これはジュニアエンジニアでも知っている初歩的なベストプラクティスだ。しかし、インシデントレス...

セッション管理の「三種の神器」を使いこなせ：Cookie属性で防ぐXSS/CSRFの最前線現場でインシデント対応をしていると、いまだに「なぜその設定が必要なのか」を理解せず、とりあえずネットのコピペで済ませているエンジニアに遭遇する。ハッキ...

鍵をかけても「窓」が開いていたら？セッションクッキーを守る3つの防犯ルールこんにちは。現場で泥臭いインシデント対応を繰り返していると、「完璧なシステムなんてない」という現実を突きつけられます。でも、だからこそ「最低限ここだけは守ろう」という...