Webセキュリティ専門の学習

CSRFの死と再生：トークンライフサイクルにおける「不可視の脆弱性」を撃ち抜く多くのテックリードが「CSRF対策はフレームワークに任せているから大丈夫だ」と安堵している。だが、現場でインシデントレスポンスを担当する我々から見れば、その「任せ...

なぜ「CSRFトークン」の実装は、未だに穴だらけなのか？現場のコードレビューをしていると、今でも「CSRFトークンを入れているから大丈夫」と胸を張るエンジニアに出くわす。だが、その実装を紐解くと、トークンをセッション変数の上書きで使い回して...

泥棒は「あなたの家」を知っている？CSRFから大切な情報を守るための「秘密の合言葉」の話こんにちは！セキュリティの現場で日々、複雑な攻撃と対峙しているエンジニアです。今日は、Web開発を始めたばかりの皆さんが必ず一度は耳にするであろう「CS...

境界を越える意思、CSRFの深淵：ブラウザという「踏み台」の脆弱性再考多くのエンジニアがCSRF（Cross-Site Request Forgery）を「古い脆弱性」と侮る。IPAのリストやOWASP Top 10で見飽きた名前だからだ。...

なぜ、今さら「CSRF」を語るのか？――その油断が、企業の信頼を焼き尽くす「CSRF（クロスサイトリクエストフォージェリ）？ 今どきフレームワークが勝手にやってくれるし、対策済みでしょ？」もし君がそう思っているなら、今すぐその考えを捨ててほ...

「知らない間に、あなたの指が勝手に動く？」CSRF（クロスサイト・リクエスト・フォージェリ）の正体と防ぎ方こんにちは！セキュリティの最前線で日々「泥棒」たちと追いかけっこをしているエンジニアです。今日は、Webの世界で非常に厄介な「CSRF...

境界防御の終焉と「HTTPヘッダー」という最後の砦「ファイアウォールを抜ければ安全」という時代は、とうの昔に終わった。現代の脅威は、ユーザーのブラウザという「クライアント側の実行環境」そのものを戦場に変えている。特に、Webアプリケーション...

境界防御は死んだ。フロントエンドで「武装」せよ：現場で使えるHTTPヘッダー完全攻略こんにちは。セキュリティチームのチーフとして、日々ログの海を泳ぎ、侵入の痕跡を追い続けている立場から断言する。「バックエンドのバリデーションだけで安全」など...

家のセキュリティは「玄関の鍵」だけじゃ足りない？Webサイトを守る「見えない盾」、HTTPセキュリティヘッダー入門こんにちは。普段は企業の防御壁を構築したり、ときには攻撃者の思考をシミュレートしたりしているセキュリティエンジニアです。皆さん...

JSONPという「亡霊」を葬り去る：CORS時代のクロスドメイン通信とアーキテクチャの防衛論現場でコードをレビューしていると、時折、化石のような実装に出くわすことがある。その筆頭がJSONP（JSON with Padding）だ。現代のW...