OWASP Top 10の基本概念と最新動向

「ファイルをアップロードしてね！」という入り口が、実は一番の落とし穴？こんにちは。セキュリティの世界で泥臭いインシデント対応を続けていると、つくづく思うことがあります。「最強のセキュリティ対策は、最強のエンジニアが書く完璧なコードよりも、『...

IDORの「本質」：なぜ認可ロジックは分散して死ぬのかIDOR（Insecure Direct Object Reference）を単なる「URLパラメータの書き換え」という初歩的な脆弱性と片付けているようでは、あなたの設計は遠からず侵害さ...

IDORはなぜ消えないのか？「権限チェック漏れ」という名の爆弾を解体する現場でコードレビューをしていると、必ずと言っていいほど遭遇するのが「IDOR（Insecure Direct Object Reference：不適切なアクセス制御）」...

「自分の鍵で他人の家に入れる？」Webアプリの致命的な盲点、IDORを攻略しようこんにちは。セキュリティの現場で日々、複雑な攻撃と対峙していると、時々「基本中の基本」が一番恐ろしい事態を招いていることに気づかされます。今日お話しするのは、I...

CSRFの死と再生：トークン実装における「負の遺産」とアーキテクチャの進化巷に溢れるセキュリティガイドラインは、CSRFを「Cookieベースの認証を悪用した踏み台」と教える。だが、現場で死線を潜り抜けてきた我々からすれば、それはあまりにも...

CSRFは「死んだ」わけじゃない。なぜ今、トークン実装で致命傷を負うのか「最近はSPA（Single Page Application）だからCSRF対策は不要ですよね？」コードレビューで後輩からそう言われ、私は思わず苦笑いした。確かに、J...

なぜ「あなたの知らない間に」銀行振込が？CSRFという名の「なりすまし」を防ぐ極意こんにちは。現場で泥臭いインシデント対応をしていると、「まさか、そんな単純なことで？」という攻撃にさらされているシステムをたくさん目にします。今日は、Webセ...

セッション管理の死角：Cookie属性の「なんとなく設定」が招く壊滅的インシデントこんにちは。現場で泥をかぶり続けていると、痛感することがある。「脆弱性とは、ソフトウェアのバグではなく、仕様の隙間を縫うエンジニアの油断から生まれる」という事...

セッション管理の「穴」を埋める：Cookie属性を極めて、攻撃者の侵入路を断つエンジニア諸君、今日も運用お疲れ様。インシデント対応の現場でよく見る光景がある。「認証機能はログイン処理さえうまく作ればOK」という勘違いだ。しかし、攻撃者はログ...

その「Cookie」、実は泥棒に鍵を渡していませんか？セッション管理の基本をマスターしようこんにちは。セキュリティの世界で長く泥臭い現場を見てきた者として、今日は「Cookie（クッキー）」という、Webサービスの命とも言える小さなデータの...