Webセキュリティ専門の学習

CSRFの「自動テスト」に頼るな。防御の要は、トークンの「不変性」と「粒度」にあるこんにちは。現場で泥をすすりながらインシデント対応をしていると、よく「DASTツール（動的スキャン）を入れたからCSRF対策は完璧ですよね？」という甘い期待を...

こんにちは。セキュリティの世界へようこそ。「CSRF（クロスサイト・リクエスト・フォージェリ）」という言葉、セキュリティの勉強を始めると必ず耳にしますよね。でも、教科書を開くと「クロスサイトでリクエストをフォージェリして…」なんて難解なカタ...

「透明なボタン」に隠された罠：クリックジャッキングとCSRFの恐ろしい共演こんにちは。セキュリティの世界へようこそ。日々、開発の現場でコードと向き合っている皆さん、お疲れ様です。「インジェクションやCSRFの名前は聞いたことがあるけれど、実...

API認証における「Bearerトークン vs Cookie」：CSRFの死角とアーキテクチャの真実セキュリティの現場で、「なぜBearerトークンを使うとCSRF（クロスサイトリクエストフォージェリ）が不要になるのか？」という議論がなされ...

なぜ「Bearerトークン」を使うとCSRFが死ぬのか？―現場が誤解しがちな認証の境界線エンジニア諸君、今日もセキュアなコードを書いているか？現場でコードレビューをしていると、未だに「API認証にはBearerトークンを使っているから、CS...

「APIにCSRF対策は不要？」その理由を、泥棒と合鍵の例えで解き明かすこんにちは！セキュリティの世界へようこそ。日々、脆弱性診断やインシデント対応の現場に立っていると、「教科書にはこう書いてあるけど、結局なぜそうなるの？」という疑問にぶつ...

なぜその「鍵」は丸見えなの？CSRFトークン漏洩の恐怖と、泥棒を追い出す防犯術こんにちは！セキュリティの世界へようこそ。今日は、Webアプリ開発において「これだけはやっちゃダメ！」という、ある致命的なミスについてお話しします。皆さんは「CS...

こんにちは。現場で泥臭いインシデント対応に明け暮れているセキュリティ担当者です。今日は「クリックジャッキング」という、ちょっと巧妙でタチの悪い攻撃手法についてお話しします。「画面が透明で見えないのに、気づかぬうちにボタンを押させられる」……...

境界線上の防衛論：Referer/Origin検証の「甘い罠」とアーキテクチャの真実セキュリティの世界で最も危険なのは、「標準仕様」を盲信することだ。特に、CSRF（Cross-Site Request Forgery）対策としてRefer...

なぜ「Refererチェック」だけで安心するのか？：CSRF対策の勘所と現実的な防衛戦略現場でコードをレビューしていると、いまだに「Refererさえ見ていればCSRFは防げる」と信じているエンジニアに出くわす。結論から言おう。Refere...