オフェンシブセキュリティ & リバースエンジニアリング

セッションハイジャックを防げ！Webサービスの「合鍵」を守るための設計ガイドこんにちは！セキュリティの世界へようこそ。皆さんは普段、Webサイトにログインするとき、いちいちIDとパスワードを入れ直さなくても、ページを移動するたびに「ログイン...

OAuth 2.0「暗黙的フロー」の黄昏：なぜ今、我々はそれを封印すべきなのか現場でコードレビューをしていると、未だに「実装が楽だから」という理由でOAuth 2.0の暗黙的フロー（Implicit Flow）を採用しているプロジェクトを見...

現場の諸君、お疲れ様。今日は「JWT（JSON Web Token）の署名偽造」という、攻撃者にとっての「マスターキー」を手に入れる悪夢のようなシナリオについて話そう。多くのエンジニアは「JWTを使っているから大丈夫」と過信しているが、その...

OAuth 2.0の「state」パラメータを軽視するな：CSRF攻撃でアカウントを乗っ取られる現場のリアル「OAuth 2.0なら認証は安全だよね？」現場でよく耳にするこのセリフ。僕がレッドチームとしてペネトレーションテストを行う際、最も...

IDORの悪夢：URLの数値をいじるだけで「他人の人生」を覗き見る脆弱性の正体現場でペネトレーションテストを行っていると、いまだに驚くほど高い確率で遭遇するのが IDOR（Insecure Direct Object Reference：安...

現場のエンジニア諸君、お疲れ様。今日は「パスワードリセット」という、一見地味だがWebアプリの心臓部とも言える機能の闇に切り込む。多くの開発者は「メールを送ってリンクを踏ませれば終わり」と考えているが、そこには攻撃者が好んで狙う「エントロピ...

セッション固定攻撃：ログイン後の「ID使い回し」が招く悲劇とその防衛術やあ。現場でコードを書き、時にはインフラの穴を突く我々にとって、セッション管理は「Webアプリの心臓部」だ。だが、この心臓部に致命的な不整脈を起こさせるのが「セッション固...

IDトークン検証の「盲点」：OpenID Connectにおける認証バイパスの深層IDトークン（JWT）は、現代の認証基盤において「信頼の源泉」として機能している。しかし、多くの開発現場において、このトークンは「解析すれば読めるJSON」と...

OAuth 2.0の「認可コード横取り」という死角：PKCEを強制するアーキテクチャの真実OAuth 2.0は、もはや現代のアイデンティティ管理における「空気」のような存在だ。しかし、その空気の組成を正しく理解しているエンジニアはどれほどい...

JWTの欺瞞：alg: none が突きつける認証の深淵とアーキテクチャの敗北セキュリティの最前線に身を置く者として、私は常に「設計者の性善説」がもたらす悲劇を目の当たりにしてきた。JSON Web Token（JWT）という、現代のWeb...