OWASP Top 10の基本概念と最新動向

こんにちは。セキュリティの最前線で泥臭いインシデント対応を続けているエンジニアです。今日は「クラウドのセキュリティって、結局何をどう見ればいいの？」という悩みを抱えているあなたに向けて、Amazon GuardDutyとログ監視の真髄を、身...

JWTの「なんとなく」を捨て去れ：HS256からの脱却と署名検証の深淵多くのテックリードが「JWTを使っているから認証は安全だ」と口にする。だが、インシデント対応の最前線にいる我々から見れば、そのJWT実装の多くは「鍵のかかっていない玄関」...

JWTの「HS256」という甘美な罠 —— なぜ今すぐRS256/ES256へ移行すべきか現場でコードレビューをしていると、いまだにJWTの署名アルゴリズムに「HS256」を使っているプロダクトを見かける。正直に言おう、それは「家の鍵を合鍵...

なぜ「JWTの鍵」は、家の鍵と同じくらい慎重に扱うべきなのか？こんにちは！セキュリティの世界へようこそ。今日は、Webアプリ開発でよく耳にする「JWT（JSON Web Token）」についてお話しします。「JWT？ ああ、ログインに使って...

パスワードハッシュの「正解」はなぜ常に更新されるのか ― Argon2idが守るメモリの深淵「パスワードをMD5やSHA-256でハッシュ化して保存する」――もし君の組織のコードベースでこの文字列を見つけたら、即座に修正のタクトを振るべきだ...

パスワード保護の「現在地」：なぜ今、Argon2id一択なのか現場でコードレビューをしていると、未だに「MD5」や「SHA-256」でパスワードをハッシュ化しているシステムに出くわすことがある。正直に言おう。それは「鍵のかかっていない玄関に...

コンテナの「脆弱性スキャン」で満足するな：CI/CDのゲートを突破する「見えない敵」への防衛論多くの開発現場で、TrivyやClairをCI/CDパイプラインに組み込むことが「セキュリティの完了」と誤解されている。だが、現実はどうか。tri...

現場のエンジニア諸君。今日も「動けばいい」という甘い誘惑と戦っていることだろう。だが、厳しい現実を突きつけよう。君たちがDockerfileのベースイメージに何気なく指定したalpine:latestやnode:18。その中には、公開から数...

HSTSの深淵：HTTPS強制の先にある「信頼の連鎖」を設計するインターネットの通信層において、我々が信じている「HTTPS」という盾は、実は極めて脆い基盤の上に成り立っている。SSL/TLSのハンドシェイクが始まるその一瞬、あるいはDNS...

依存関係の「見えない支配」：SCAとSBOMがもたらす防御のパラダイムシフト現代のソフトウェア開発において、自前で書くコードは氷山の一角に過ぎない。深淵を覗けば、そこには数千の依存ライブラリが複雑に絡み合い、まるで「脆弱性のマトリョーシカ」...