共通鍵暗号（AESなど）と公開鍵暗号（RSA、楕円曲線暗号 ECC）の原理と使い分け

メモリ上の「亡霊」を消し去れ：暗号鍵の生存期間とゼロクリアの真実現場でインシデント対応をしていると、よく耳にする「セキュリティ意識の高い」エンジニアの勘違いがある。それは、「TLSで通信を暗号化しているから安心だ」という言葉だ。しかし、暗号...

Android改ざん検知の「泥沼」：SafetyNet/Play Integrity APIを過信してはいけない理由エンジニアの諸君、今日もフロントエンドのAPI叩いて終わり、なんて楽観的な開発をしていないだろうか。特にAndroidアプリ...

エンジニア諸君、お疲れ様。今日もセキュアなコードを書いてるか？「ディスクを暗号化しているから、PCを盗まれても大丈夫」。そう高を括っているなら、今すぐ考えを改めたほうがいい。今日は、多くのエンジニアが盲点とする「スリープ（S3）状態のメモリ...

「鍵」をどこに置くか：HSMとFIPS認証が防ぐ「最悪のシナリオ」現場でシステムを組んでいると、暗号化は「とりあえずAESで暗号化して、鍵は環境変数に入れておけばいいや」という判断になりがちだ。だが、断言しよう。その設計は、プロの攻撃者から...

鍵管理は「金庫の鍵」そのものだ。なぜお前たちはそれを平文でコードに書くのか？現場でインシデント対応をしていると、決まって遭遇する光景がある。攻撃者にサーバーを制圧されたあと、ログを追うと config.php や環境変数の中に、平文のAPI...

エンジニア諸君、現場の最前線へようこそ。今日は、モバイルアプリ開発で誰もが一度は誘惑に駆られる「データのローカル保存」という地雷原について話そう。なぜか「ローカルにあるデータなら安全だろう」と勘違いしているエンジニアが後を絶たないが、結論か...

メモリは「聖域」ではない：DMA攻撃から暗号鍵を守り抜くための防壁設計こんにちは。現場の最前線でインシデント対応に明け暮れていると、時折「OSが起動していてパスワードロックがかかっているから、メモリの中身は安全だ」という甘い考えを持つエンジ...

RSAの「処理時間」が命取りになる：サイドチャネル攻撃の深淵と防御の極意現場でコードを書いていると、「暗号化ライブラリを使っているから安全だ」と信じ込みたくなる気持ちはよくわかる。だが、CISSPとして数々のインシデントを見てきた経験から言...

暗号の「理論」を裏切る物理の現実：サイドチャネル攻撃（DPA）との戦い方エンジニアの諸君、お疲れ様。君たちが書いたコードで暗号化されたデータは、数学的には「解読不可能」かもしれない。しかし、その暗号が実行されている「ハードウェア」まで含めて...

iOS Keychainの「甘い設定」が招く悲劇：開発者が今すぐ見直すべきデータ保護の鉄則現場で数々のインシデントを見てきたが、アプリ開発において「Keychainに保存すれば安全」と盲信しているエンジニアほど危ういものはない。特にiOSの...