アプリケーションセキュリティ & 安全な開発

「鍵をかけ忘れた家」にならないために。Cookieを守る3つの魔法の属性こんにちは！セキュリティの現場で日々、泥棒（攻撃者）との知恵比べをしているエンジニアです。今日は、Webサイトの「身分証」や「合鍵」のような役割を果たすCookie（ク...

PostMessage APIの罠：Origin検証の「怠慢」が招く壊滅的なデータ流出フロントエンドのアーキテクチャが複雑化の一途を辿る現代において、window.postMessage APIは、クロスドメインなウィンドウ間通信を実現する...

なぜ、その postMessage は「鍵なしの金庫」なのか？現場でコードレビューをしていると、未だに信じられない実装に出くわすことがある。フロントエンドのウィンドウ間通信、すなわち postMessage APIの乱用だ。「とりあえず動け...

なぜ「窓を開けっ放し」にするの？PostMessage APIとセキュリティの落とし穴こんにちは！現場で泥臭いインシデント対応ばかりしているセキュリティエンジニアです。今日は、Webアプリケーション開発で最近よく使う「postMessage...

JSONPの亡霊とCORSの誤解：現代のアプリケーション・セキュリティ・アーキテクトが直視すべき「境界」の真実かつてWeb開発の現場で「魔法の杖」としてもてはやされたJSONP（JSON with Padding）。しかし、現代のセキュリテ...

レガシーの亡霊「JSONP」を葬り去れ：CORSで実現する現代的なクロスオリジン通信の鉄則現場でコードレビューをしていると、未だに「古いシステムとの連携だから」という言い訳でJSONPを使っているケースに出くわす。正直に言おう。JSONPを...

JSONPはもう「古い家の鍵」？XSSリスクから身を守るクロスオリジンの考え方こんにちは。現場で泥臭くインシデントと戦い続けているセキュリティエンジニアです。今日は、Web開発の現場でたまに耳にする「JSONP（ジェイソンピー）」という技術...

「玄関の鍵を閉めても泥棒は入ってくる？」XSSの先にある、Webサイトの『究極の隔離』を学ぼうこんにちは。セキュリティの世界で長く泥臭い現場を渡り歩いてきた者です。今日は、「XSS（クロスサイトスクリプティング）」という言葉を聞いたことがあ...

サプライチェーン攻撃の「静かなる毒」を無効化せよ：SRIによる防衛の真実現代のフロントエンド開発において、CDNからライブラリを読み込むのは「空気」のような存在だ。しかし、その空気は汚染されているかもしれない。あなたが信頼して読み込んでいる...

「信頼」はハッシュ値で担保せよ：CDN経由のXSSを封殺するSRIの極意現場でエンジニア諸君と話していると、たまにこういう声を聞く。「CDNを使えば速度も出るし、ライブラリ管理も楽。だから全部CDNに頼っているんだ」。半分は正解だが、残りの...