暗号理論・認証基盤 & エンドポイントセキュリティ

エンジニア諸君。現場で戦っていると、「暗号化はライブラリを呼べば終わり」と思っている連中に遭遇することがある。だが、HeartbleedやROBOT攻撃を見てきた我々からすれば、それは「鍵をかけた扉の蝶番を外してくれ」と言っているようなもの...

秘密鍵が「終わった」瞬間に備える：RSA鍵漏洩時の現実的なインシデントハンドリングエンジニア諸君、お疲れ様。今日は少し重い話をしよう。君たちが必死に設計したTLS/SSLやJWTの要である「RSA秘密鍵」。これがもし、開発者のPCのログ、あ...

現場で汗を流すエンジニアの諸君、お疲れ様。今日は、多くの開発者が「なんとなく」使い、そして多くのシステムが「そのなんとなく」のせいで死ぬことになる、暗号化の正解について話をしよう。「暗号化しておけば安全」というのは、すでに過去の遺物だ。特に...

なぜ「SHA-256でハッシュ化しました」がエンジニアの墓穴になるのか現場でコードレビューをしていると、未だに「パスワードをSHA-256でハッシュ化して保存しています」という報告を受けることがある。率直に言おう。それはセキュリティ対策では...

エンジニア諸君、現場は戦場だ。マニュアル通りの「暗号化しましょう」なんて言葉は、もう聞き飽きているだろう。今日は、我々が守るべきシステムの「防波堤」であるTLS、特にTLS 1.3の強制と暗号スイートの選定について、泥臭い実務の話をしよう。...

量子コンピュータの足音：RSA/ECCが「無力化」される日に向けてエンジニアが今やるべきこと現場のエンジニア諸君、お疲れ様。今日もセキュアなコードを書いてるか？最近、「量子コンピュータが実用化されたら今の暗号は全部ゴミになる」という話を耳に...

暗号は「アルゴリズム」ではなく「鍵の寿命」で決まる。現場で生き残るKMS運用術現場でコードを書いていると、つい「AES-256を使えば安全だ」といったアルゴリズムの選定に集中しがちだ。だが、断言しよう。暗号強度は、その鍵をどれだけ適切に管理...

ハッシュ関数を「認証」に使ってはいけない：HMACで守るべきデータの整合性現場でコードレビューをしていると、未だに「改ざん検知」の文脈で、ただのハッシュ関数をそのまま使っている実装に出くわす。例えば、APIの署名検証やセッションデータの保護...

エンジニア諸君、現場の最前線へようこそ。今日は、多くのエンジニアが「なんとなく設定している」だけで、その本質的な脅威と防御ロジックを理解していない「Perfect Forward Secrecy (PFS：完全な前方秘匿性)」の話をする。教...

現場のエンジニア諸君、お疲れ様。今日もどこかのサーバーで脆弱性が突かれ、深夜のインシデント対応に追われていないことを祈るよ。今日は「暗号」という強固な城壁に潜む、極めて静かな侵入経路について話そう。教科書では「AESやRSAは安全である」と...