OWASP Top 10の基本概念と最新動向

ログは「エンジニアの宝の山」か、それとも「攻撃者の招待状」か現場のエンジニア諸君、日々お疲れ様。ログの設計について深く考えたことはあるか？「とりあえずデバッグ用に全部出しとけ」と、リクエストボディやレスポンスの全容をログに吐き出しているなら...

ログは「家ののぞき穴」？あなたの家の鍵が丸見えになっていませんか？こんにちは。セキュリティの世界で長く戦っていると、「完璧なシステムなんて存在しない」という現実に突き当たります。でも、だからといって無防備でいいわけじゃありませんよね。今日は...

APIレート制限の「形骸化」を突破する—Redis層での防御と、その裏側に潜むアーキテクチャの陥穽「レート制限を入れました。RedisでIPごとに回数制限しています」コードレビューでこの言葉を耳にするたび、私は苦笑いを禁じ得ない。それは盾を...

APIレート制限を「おまじない」で終わらせるな：ブルートフォースを無力化する実戦的アーキテクチャ現場でインシデント対応をしていると、よく耳にするセリフがある。「レート制限は実装済みです。WAFで弾いていますから」。残念だが、それは半分正解で...

玄関の鍵を1秒に100回ガチャガチャされたら？APIレート制限で守る「システムの治安」こんにちは。セキュリティの現場で日々、防御の最前線に立っている者です。今日は、開発者なら必ず一度は耳にする「レート制限（Rate Limiting）」につ...

パスワードハッシュの「正解」を求めて：Argon2が制する現代の防御レイヤ多くのエンジニアが「パスワードはハッシュ化しているから大丈夫」と安堵するが、実務の現場でインシデント対応をしていると、その「大丈夫」が実に脆い砂上の楼閣であることを痛...

パスワード保護の「終わりのない戦い」：Argon2とbcryptで防御の要を固める現場でインシデント対応をしていると、「パスワードはハッシュ化しています」という言葉をよく耳にする。だが、その中身を覗いてみると、いまだにMD5やSHA-1、あ...

パスワードは「ただの鍵」じゃない。泥棒に合鍵を作らせないための「ハッシュ化」入門こんにちは。セキュリティの世界へようこそ。あなたは、自分の家の鍵を道端に落としてしまったらどうしますか？ 鍵を拾った泥棒は、それを複製していつでもあなたの家に忍...

なぜ、あなたのウェブサイトは「鍵をかけたはず」なのに盗聴されるのか？こんにちは。セキュリティの現場で日々、見えない脅威と戦っているエンジニアです。今日は、Web開発を始めたばかりの皆さんが必ずぶつかる壁であり、かつ「実は一番怖い」と言っても...

セッション固定攻撃の深淵：ログイン後の「ID再生成」をサボるなセキュリティの現場で長年戦っていると、いまだに「なぜセッションIDを再生成しないのか？」という根本的な設計ミスに遭遇する。これはOWASP Top 10の古典的項目だが、現代の複...