アプリケーションセキュリティ & 安全な開発

テンプレートエンジンは「魔法の箱」ではない：SSTIが生むRCEの深淵多くの開発者が、Jinja2やThymeleafを単なる「HTML生成ツール」と誤認している。だが、セキュリティアーキテクトの視点で見れば、これらは「サーバーサイドで動的...

Markdownパーサーの深淵：DOMPurifyが「銀の弾丸」ではない理由と、多層防御のアーキテクチャ多くの開発者がMarkdownをHTMLに変換する際、markedやmarkdown-itを導入し、その出力をそのままDOMに注入するよ...

Markdownの「その変換」、実は爆弾を抱えていないか？：DOMPurifyによる防御の極意現場でエンジニア諸君と話していると、よくこんな相談を受ける。「MarkdownをHTMLに変換して表示するだけの機能なんだから、そこまで神経質にな...

ツールに「任せて」安心していませんか？SASTを武器にするための現場の極意「SAST（静的解析ツール）を入れておけばインジェクション攻撃は防げる」――そう信じているなら、今すぐその認識を改めたほうがいい。現場で数々のインシデントを見てきた私...

泥棒が「合鍵」を作る前に食い止めろ！DASTで見つけるインジェクションの盲点こんにちは。セキュリティの世界へようこそ。いきなりですが、皆さんの家の玄関を想像してみてください。頑丈な鍵をかけていても、もし「郵便受けから手を突っ込んで内側のサム...

WAFは「最終防衛ライン」ではない：インジェクション防御の深層アーキテクチャ多くのエンジニアがWAFを「魔法の盾」と誤解している。しかし、現場の泥臭いインシデントハンドリングを経験した者なら知っているはずだ。WAFは、アプリケーションレイヤ...

SSTI：テンプレートエンジンという「パンドラの箱」をどう封印するかセキュリティの現場に長くいると、OSコマンドインジェクションやSQLインジェクションといった古典的な脆弱性は「解決済み」という幻想を抱きたくなる。しかし、モダンなWebアプ...

テンプレートエンジンの「魔法」が「悪魔」に変わる瞬間：SSTIの正体と防衛戦現場でコードをレビューしていると、時々ぞっとする光景に出くわす。「ユーザーの入力値をテンプレートエンジンに直接投げ込む」という実装だ。開発者は「テンプレートエンジン...

ネットの世界の「通り魔」からデータを守れ！TLS 1.3と「前方秘匿性」の秘密こんにちは。セキュリティの現場で日々、防御の最前線に立っている者です。「HTTPSにしていれば安心」と信じている新人エンジニアの皆さん、実はその安心、少しだけ「穴...

etcdの「素っ裸」をどう覆うか：KMS連携によるKubernetes Secretの死角を突くKubernetesの設計思想において、Secretリソースは「便利だが危険な存在」だ。デフォルトではBase64エンコードされただけの文字列と...