アプリケーションセキュリティ & 安全な開発

なぜその「暗号」は破られるのか？：TLS 1.3への移行で守るデジタルな玄関こんにちは。セキュリティの世界で、日々システムを守る最前線に立っている者です。皆さんは、自宅の玄関の鍵をかけたとき、その鍵が「100年前の壊れやすいおもちゃの鍵」だ...

SMS OTPという「終わった遺産」と、認証の未来をFIDO2に託すべき必然的理由セキュリティの世界で最も忌むべきは、「慣習」を「安全」と履き違えることだ。多くの企業が未だに多要素認証（MFA）としてSMSや音声通話によるワンタイムパスワー...

SMS認証はもう「穴だらけ」だ。今すぐFIDO2への移行を検討すべき理由「MFAを導入しているから大丈夫」。そう油断しているエンジニアほど、インシデント発生時に顔面蒼白になる。現場で多くの不正アクセスを見てきたが、SMSや音声によるワンタイ...

レート制限の「その先」：分散型ブルートフォースと戦うためのアーキテクト的思考多くの開発者が「レート制限」を実装する際、RedisのINCRコマンドとEXPIREを組み合わせて、IPアドレスごとにリクエスト数をカウントする実装で満足している。...

なぜ「APIのレート制限」があなたのシステムの最後の砦なのかやあ。現場で泥をすすりながらインシデント対応をしているエンジニア諸君なら、一度は目にしたことがあるはずだ。「なぜか特定のAPIだけ負荷が高い」「ユーザーDBへの辞書攻撃でアカウント...

ブラウザの「親切心」という名の脆弱性：X-Content-Type-Options: nosniff の深淵セキュリティの世界には、「機能の利便性は、攻撃者の最大の武器になる」という鉄則がある。Webブラウザというやつは、ユーザー体験を損な...

現場のエンジニア諸君、お疲れ様。今日もどこかのログで怪しいトラフィックが跳ねているかもしれないが、まずは落ち着いて「基本の徹底」から始めよう。セキュリティの世界では、複雑なゼロデイ脆弱性ばかりに目を奪われがちだが、実は「ブラウザの余計なお節...

セッション・フィンガープリントの幻想と現実：偽りの安心を突破する攻撃者の論理多くのセキュリティ設計書で「セッションIDの盗難対策」として掲げられるのが、User-AgentやIPアドレスによるフィンガープリントの検証だ。一見すると堅牢な多層...

セッションハイジャックを「無力化」せよ：フィンガープリント検証の真実いいか、現場のエンジニア諸君。セキュリティの世界では「完璧な銀の弾丸」は存在しない。しかし、「攻撃者のコストを跳ね上げ、戦意を喪失させる」ための防壁なら構築できる。今日取り...

セッション管理の「死角」を突く：アイドルと絶対タイムアウトの深淵多くのエンジニアが「セッションタイムアウト」を単なるUXとセキュリティのトレードオフだと思っている。だが、現場で死屍累々たるインシデントを見てきた者から言わせれば、それは甘い。...