アプリケーションセキュリティ & 安全な開発

etcdの「素っ裸」をどう覆うか：KMS連携によるKubernetes Secretの死角を突くKubernetesの設計思想において、Secretリソースは「便利だが危険な存在」だ。デフォルトではBase64エンコードされただけの文字列と...

OSコマンドインジェクションの深淵：なぜ「シェル経由」は常に敗北するのかOSコマンドインジェクション。この脆弱性の名前を聞いて、多くの開発者は「ああ、evalやsystemを使わなければいいんでしょ？」と反射的に答えるだろう。だが、現場でイ...

JSONPの悪夢から解放されよう：CORSで実現する、安全なクロスドメイン通信の現代的アプローチおう、お前さんたち。今日も一日、コードと格闘お疲れさん。俺は、あの手この手でシステムに穴を開けようとする連中と日々戦っている、このセキュリティチ...

JSONPはもう卒業！CORSで安全に「お隣さん」とデータをやり取りしよう皆さん、こんにちは！サイバーセキュリティの世界へようこそ。今回は、Web開発でよく耳にする「JSONP」という技術と、それに代わる「CORS」という仕組みについて、で...

テンプレートエンジンの「自動エスケープ」という幻想：ヒューマンエラーをアーキテクチャで封じ込めるセキュリティの現場で長年ログを追っていると、ある共通の事実に気づく。それは、「人間は必ずミスをする」という前提を欠いたシステムは、どれほど精巧に...

---テンプレートエンジンの「盲点」を突くXSSを防げ！自動エスケープ設定、その真の価値と実践皆さん、こんにちは。世界中で発生するサイバーインシデントの最前線で、今日も頭を悩ませているセキュリティチーフエンジニアの〇〇です。「XSS対策はW...

皆さん、こんにちは！セキュリティバイブルの主筆を務めている者です。ウェブアプリケーション開発の最前線でコードと格闘する皆さんに、今日はちょっとだけ、いつもとは違う視点から開発のヒントをお届けしたいと思います。特に、これからセキュリティを学び...

我々セキュリティプロフェッショナルにとって、インジェクション攻撃は常に最前線で対峙すべき脅威であり続けています。特にウェブアプリケーションにおいて、ユーザーからの信頼できない入力がHTMLとして処理される場面は枚挙にいとまがなく、その隙を突...

おう、諸君。今日もセキュリティの最前線で奮闘しているか？ 俺は、数々のサイバー攻撃の痕跡を追い、その裏で蠢く攻撃者の手口を暴いてきた。今日は、Webアプリケーション開発において、避けては通れない「インジェクション攻撃」の中でも、特に厄介な「...

悪意ある「落書き」からウェブサイトを守る！DOMPurifyでHTML入力を安全にクリーンアップしよう皆さん、こんにちは！セキュリティ担当の〇〇です。日々の開発、お疲れ様です。ウェブサイトやアプリケーションを開発していると、ユーザーからの入...