OWASP Top 10の基本概念と最新動向

セッション固定化の亡霊：IP/UA固定は「気休め」か「盾」か現場でコードレビューをしていると、今でも「セッションIDを盗まれたら怖いから、IPとUser-Agentをセッションに紐付けて検証しよう」という設計に出くわすことがある。一見すると...

こんにちは！セキュリティの世界へようこそ。私は普段、企業の守りを固める仕事をしていますが、今日は「セッション管理」という、Webサイトの「鍵」を守るための非常に重要なテーマについてお話しします。セキュリティと聞くと難しく感じますが、実は私た...

脱・クライアントシークレット：OAuth 2.0における認証の「ラストワンマイル」を埋めるこんにちは。コードの行間にある「想定外」を追い続けて幾星霜、現場の泥臭いインシデントと、教科書には載らないプロトコルの綻びに今日も向き合っています。さ...

認証の「パスワード化」から脱却せよ：OAuth 2.0 クライアント認証の深淵現場でインシデント対応をしていると、いまだに「クライアントシークレットを環境変数にベタ書き」して安心しているプロジェクトに出くわす。正直に言おう。クライアントシー...

こんにちは。現場の最前線でセキュリティの穴を塞ぎ続けているエンジニアです。今日は、OAuth 2.0の「クライアント認証」という、少し地味だけど非常に重要な、いわば「家の鍵」の話をしましょう。開発者のみなさんが「とりあえずクライアントシーク...

JWTは「封書」ではなく「ハガキ」だ：機密情報漏洩の構造とJWEによる防衛戦略多くの開発者がJWT（JSON Web Token）を「セキュアな認証トークン」と誤解している。しかし、現実のインシデント現場において、JWTはしばしば「宝の地図...

現場の諸君、お疲れ様。今日もどこかのサーバーで、設定ミスや実装の甘さを突こうと待ち構えている連中がいる。さて、今回は「JWT（JSON Web Token）」の話だ。最近、「セッション管理をステートレスにしたい」という理由だけで、深く考えず...

JWTは「透明な封筒」？機密情報をうっかり入れてはいけない理由こんにちは！セキュリティの現場で日々、システムの「お守り」をしているエンジニアです。今日は、現代のWeb開発で避けては通れない「JWT（JSON Web Token）」についてお...

セッション管理の死角：ミリ秒単位の攻防が分ける「絶対時間」と「アイドル時間」の真実多くの開発者がセッションタイムアウトを「利便性とセキュリティのトレードオフ」という陳腐な議論で片付けている。しかし、最高峰の現場で戦う我々にとって、それはメモ...

セッション管理の「さじ加減」が命取りになる理由：アイドルと絶対時間の正しい制御術やあ。現場で泥臭いインシデント対応をしていると、つくづく思うことがある。それは、「セッション管理を甘く見ているシステムは、玄関の鍵を開けっ放しにして外出している...