securityintronational

IDORは「認証の成功」という甘い罠に潜んでいる：設計で叩き潰す認可の鉄則「ログインできているから大丈夫」。もしチームのメンバーがそんなことを口にしたら、すぐにそのコードを止めてください。多くのエンジニアが陥る罠、それが IDOR（Inse...

「URLの数字を変えるだけ」で大惨事？IDORの恐怖と、今日からできる「鍵の掛け方」こんにちは。セキュリティの世界へようこそ。今日は、開発現場でつい見落とされがちなのに、やられると致命傷になる「IDOR（アイドア：不適切な直接オブジェクト参...

なぜその「XML」が泥棒を招くのか？XXE攻撃の正体と、鍵のかけ方を徹底解説こんにちは！セキュリティの世界へようこそ。今日は、Web開発の現場で意外と見落とされがちな「XXE（XML External Entity）攻撃」についてお話ししま...

SSRFという「境界線」の崩壊 —— ネットワーク分離とゼロトラストの深淵多くのエンジニアが「SSRF（Server-Side Request Forgery）はURLをバリデーションすれば防げる」と信じ込んでいる。だが、現場で数多のインシ...

SSRF：クラウド時代の「見えない侵入者」を完封する技術現場でインシデント対応をしていると、最近特に頭を抱えるのがSSRF（Server-Side Request Forgery）だ。かつては「外部から内部を覗き見られる」程度に思われていた...

サーバーの「おつかい」が悪用される？SSRFの恐怖と、それを防ぐ最強のガード術こんにちは。セキュリティの世界へようこそ。今日は、近年のウェブアプリケーションにおいて「最も狡猾で、かつ見過ごされがちな脅威」の一つ、SSRF（サーバーサイドリク...

HTTP/2・HTTP/3の深淵：HPACK/QPACK圧縮攻撃が突く「メモリの綻び」HTTP/1.1の時代、私たちは「ヘッダーが重い」と嘆き、それを解決するためにHTTP/2のHPACK（Header Compression）を歓迎した。...

HTTP/2・HTTP/3の「盲点」：ヘッダー圧縮攻撃（HPACK/QPACK）からサーバーを守り抜く技術現場でインシデント対応をしていると、多くのエンジニアが「TLSさえかけていればWeb通信は安全だ」という幻想を抱いていることに気づかさ...

「通信の効率化」が招く落とし穴：HTTP/2・HTTP/3のヘッダー圧縮攻撃からサーバーを守るには？こんにちは。セキュリティの現場で日々、巧妙化する攻撃と対峙しているエンジニアです。今日は、Webサイトを高速化するために導入された「HTTP...

こんにちは。セキュリティの世界へようこそ。現場でバリバリ開発をしていると、「なぜこんな面倒な設定をしなきゃいけないんだ？」と叫びたくなる瞬間がありますよね。特に「COOP」や「COEP」といったヘッダーは、初めて見たとき「呪文かな？」と思う...