共通鍵暗号（AESなど）と公開鍵暗号（RSA、楕円曲線暗号 ECC）の原理と使い分け

現場で戦うエンジニア諸君。今日も「とりあえず動くコード」と「セキュアなコード」の境界線で格闘していることだろう。多くの開発者がAPIのセキュリティと聞くと、OAuthやJWTといった認証・認可の仕組みに頭がいきがちだが、実はインシデントの最...

JWTの深淵： iat と nbf が防ぐ「不可視の綻び」暗号技術の表層をなぞるだけなら、教科書を開けばいい。だが、我々のようなアーキテクトが直面するのは、RFC 7519の行間にある「実装の甘さ」が招く悲劇だ。JWT（JSON Web T...

権限の「オーバープロビジョニング」という名の時限爆弾：OAuth 2.0 スコープ設計の深淵セキュリティの世界で「最小権限の原則（Principle of Least Privilege）」という言葉を聞かない日はありません。しかし、現場で...

APIの牙城を崩す「レート制限」の深淵：ブルートフォースからAI時代のDoSまでセキュリティアーキテクト諸君、ご苦労。巷では「レート制限を入れれば攻撃は防げる」という安易な言説がまかり通っているが、現実のインシデントハンドリングの現場では、...

「expだけ検証して安心」が引き起こす致命的インシデント開発現場のコードレビューで、私はよくこんなJWT（JSON Web Token）検証コードを目にします。「署名が正しくて、exp（有効期限）を切れていないから、このトークンは安全です」...

はじめに：「大は小を兼ねる」が命取りになるOAuth 2.0の世界現場でコードをレビューしていると、よくこんなOAuth 2.0のスコープ（Scope）定義を見かけるんだ。scope: "read write admin"scope: "a...

「暗号化さえ完璧なら、システムは安全だ」――もし君がそう思っているなら、今日この瞬間にその認識を改めてほしい。現場で数々の修羅場をくぐり抜けてきた立場から言わせてもらうと、どれほど強固な楕円曲線暗号（ECC）やAES-256でデータを守って...

「いいか、よく聞いてくれ。暗号強度をどれだけ上げても、鍵をどれだけ厳重に管理しても、泥棒が玄関のドアを1秒間に1万回叩き続けたらどうなる？ ドアは壊れなくても、家主は応対だけで疲弊して倒れてしまう。それがAPIにおけるDoS攻撃やブルートフ...

牙を剥くBearerトークン：TLS 1.3とHSTSが定義する「信頼の境界線」セキュリティアーキテクトやテックリードの諸氏なら、一度は「Bearerトークンは、その名の通り『持参人』に全権を与える諸刃の剣である」という格言を耳にしたことが...

API認証におけるBearerトークン漏洩防止とTLS強制：サイバー攻撃者の盲点を突くディフェンス戦略セキュリティアーキテクト、チーフホワイトハッカー、そしてテックリード諸君。毎夜、サイバー攻撃者は我々のシステムに潜む僅かな隙間を探し、その...