Webセキュリティ専門の学習

JWTの「HS256」という甘美な罠 —— なぜ今すぐRS256/ES256へ移行すべきか現場でコードレビューをしていると、いまだにJWTの署名アルゴリズムに「HS256」を使っているプロダクトを見かける。正直に言おう、それは「家の鍵を合鍵...

なぜ「JWTの鍵」は、家の鍵と同じくらい慎重に扱うべきなのか？こんにちは！セキュリティの世界へようこそ。今日は、Webアプリ開発でよく耳にする「JWT（JSON Web Token）」についてお話しします。「JWT？ ああ、ログインに使って...

パスワードハッシュの「正解」はなぜ常に更新されるのか ― Argon2idが守るメモリの深淵「パスワードをMD5やSHA-256でハッシュ化して保存する」――もし君の組織のコードベースでこの文字列を見つけたら、即座に修正のタクトを振るべきだ...

パスワード保護の「現在地」：なぜ今、Argon2id一択なのか現場でコードレビューをしていると、未だに「MD5」や「SHA-256」でパスワードをハッシュ化しているシステムに出くわすことがある。正直に言おう。それは「鍵のかかっていない玄関に...

コンテナの「脆弱性スキャン」で満足するな：CI/CDのゲートを突破する「見えない敵」への防衛論多くの開発現場で、TrivyやClairをCI/CDパイプラインに組み込むことが「セキュリティの完了」と誤解されている。だが、現実はどうか。tri...

現場のエンジニア諸君。今日も「動けばいい」という甘い誘惑と戦っていることだろう。だが、厳しい現実を突きつけよう。君たちがDockerfileのベースイメージに何気なく指定したalpine:latestやnode:18。その中には、公開から数...

HSTSの深淵：HTTPS強制の先にある「信頼の連鎖」を設計するインターネットの通信層において、我々が信じている「HTTPS」という盾は、実は極めて脆い基盤の上に成り立っている。SSL/TLSのハンドシェイクが始まるその一瞬、あるいはDNS...

依存関係の「見えない支配」：SCAとSBOMがもたらす防御のパラダイムシフト現代のソフトウェア開発において、自前で書くコードは氷山の一角に過ぎない。深淵を覗けば、そこには数千の依存ライブラリが複雑に絡み合い、まるで「脆弱性のマトリョーシカ」...

依存ライブラリの脆弱性管理：なぜ「君のコード」は安全でも「隣のコード」が刺されるのか現場で「うちのコードは脆弱性診断を通したから大丈夫です」と胸を張るエンジニアに限って、数ヶ月後に派手にやらかす。なぜか？ 答えは簡単。彼らが書いたコードでは...

ログは「死体検分」の現場である：機密漏洩を防ぎ、インシデントを追跡するためのアーキテクチャ論多くのエンジニアが「ログ出力」を単なる作業と考えている。しかし、最高峰の攻撃者にとって、ログは宝の山だ。設定ミスで出力されたセッションID、平文のパ...