暗号理論・認証基盤 & エンドポイントセキュリティ

その「ハードコード」が命取りになる。モバイルアプリの鍵管理、本当の戦い方やあ。現場でコードを叩くエンジニア諸君、今日も「動けば正義」の罠にハマっていないか？モバイルアプリのセキュリティ相談を受ける際、私が最も絶望するのは、バイナリの中に直接...

LUKSヘッダーの「死」はデータの死。現場で生き残るための暗号基盤防衛術君たちが普段何気なく扱っているLinuxのフルディスク暗号化、LUKS（dm-crypt）。「とりあえずパスフレーズを設定しておけば安心」だと思っていないか？現場のイン...

BitLocker「TPMのみ」という幻想：コールドブート攻撃から資産を守るための現実解現場でセキュリティ設計に関わっていると、いまだに「BitLockerを有効にしているから大丈夫」という言葉を耳にする。だが、残念ながら「TPMのみ（TP...

エンジニア諸君、日々コードを書き、インフラを守る戦い、ご苦労様。「秘密鍵をどこに置くか？」という問いは、我々セキュリティ屋にとって永遠の命題だ。環境変数？ ハードコード？ 最近ならAWS KMSやHashiCorp Vaultを使うのが定石...

泥沼のインシデント現場から学ぶ：TPM 2.0とPCRが守る「信頼の起点（Root of Trust）」現場でインシデント対応をしていると、OSやアプリケーション層の脆弱性ばかりに目を奪われがちなエンジニアが多いことに危機感を覚える。だが、...

現場のエンジニア諸君、今日も泥臭いインシデント対応お疲れ様。「暗号」と聞くと、多くの開発者は「ライブラリを呼べば終わり」と思いがちだ。だが、我々のようなセキュリティの最前線にいる人間からすれば、暗号は「最強の盾」であると同時に、法的な落とし...

暗号実装の「一番脆い場所」：パディングオラクル攻撃を無力化する実務的アプローチエンジニアの諸君、お疲れ様。「暗号化しているから安心だ」という言葉を、私はセキュリティ監査の現場で最も警戒している。なぜなら、多くの開発者は「暗号化アルゴリズム（...

署名生成の「たった一度のミス」が命取り：ECDSAのNonce漏洩という悪夢エンジニア諸君、日々コードを書いていて「乱数」を軽く見てはいないか？「とりあえず rand() で回しておけばいいや」という安直な実装が、どれほど残酷な結末を招くか...

暗号の「心臓」を止めるな：CSPRNGの枯渇が招く脆弱性と、実務で死なないための実装術エンジニア諸君、セキュリティの現場で最も「静かに、しかし致命的に」システムを腐らせる原因は何だと思う？ SQLインジェクションか？ いや、もっと根源的で、...

現場のエンジニア諸君、今日も泥臭い運用お疲れ様。「暗号化してるから大丈夫」という言葉を、セキュリティの現場で何度聞いたことか。だが、その安心感こそが最大の脆弱性だ。今日取り上げるのは「保存時暗号化（Encryption at Rest）」だ...