オフェンシブセキュリティ & リバースエンジニアリング

はじめに：あなたの家の「合鍵」、どこに隠していますか？皆さん、こんにちは！セキュリティの世界へようこそ。日々、新しいシステムやアプリを開発していると「OAuth（オーオース）2.0」という言葉を耳にする機会が多いですよね。SNSログイン機能...

こんにちは！セキュリティの世界へようこそ。世界中のシステムを攻撃者の視点から調査している、レッドチーム（攻撃側）エンジニアです。今日は、Web開発で非常によく使われる「JWT（ジョット）」という技術についてお話しします。「JWTって便利だよ...

OAuth 2.0 の「鍵」をかけ忘れると、泥棒が勝手に入ってくる！？ ～ state パラメータ欠如による CSRF 攻撃を解き明かす ～皆さん、こんにちは！サイバーセキュリティの世界へようこそ。今回は、皆さんが普段何気なく使っているかも...

IDOR：あなたの家の鍵、泥棒は知らず知らずのうちに狙っているかも？〜データ漏洩を防ぐための第一歩〜皆さん、こんにちは！サイバーセキュリティの世界へようこそ。今回は、Webサイトやアプリケーションでよく見られる「IDOR（Insecure ...

パスワードリセット機能の落とし穴：泥棒が狙う「鍵」と「家の住所」のトリックITの世界へようこそ！最近、Webサイトやアプリで「パスワードを忘れちゃった！」って時に、メールで送られてくるパスワードリセット機能、よく使いますよね。でも、実はこの...

こんにちは！レッドチームエンジニアの〇〇です。今日は、なんだか物騒な響きの「セッション固定攻撃」というテーマについて、新人IT担当者さんや、これからセキュリティの面白さに触れていきたい開発者さんに向けて、とことん優しく解説していきたいと思い...

OpenID ConnectのIDトークン検証不備を突く「なりすまし」攻撃：実例と堅牢な防御策お疲れ様。今日も今日とて、世の中には数えきれないほどのWebアプリケーションが日々デプロイされている。その一方で、見えないところで静かに、しかし確...

おい、みんな。セキュリティチームの〇〇（←チーフエンジニアの名前を想像してくれ）だ。今日も元気にコード書いてるか？最近、Webサービスやモバイルアプリの開発でOAuth 2.0を使うのが当たり前になってきたよな。手軽に認証・認可の仕組みを導...

おい、ちょっといいか？最近、チームでWeb APIの設計について話す機会があったよな。その時に「JWT（JSON Web Token）を使っています」って答えてくれたメンバーが何人かいたけど、正直なところ、ちょっと胸騒ぎがしたんだ。JWTは...

クラウドストレージ暗号化の盲点：なぜ「暗号化済み」のデータが盗まれるのか？「ウチのS3バケットは、デフォルトでSSE-S3（S3管理鍵によるサーバーサイド暗号化）が有効になっているから大丈夫」もしあなたのチームにこう考えているメンバーがいた...