Webセキュリティ専門の学習

腐った果実を食すな：安全でないデシリアライゼーションの深淵と防御の極意「シリアライズされたデータは、単なるデータの転送フォーマットではない。それは、遠隔地で実行される可能性を秘めた、眠れるコードの断片だ。」長年、脆弱性調査の最前線に立ってい...

門外不出の「シリアライズ地獄」攻略：RCEを許さないための防衛術やあ。今日も本番環境のログとにらめっこ、お疲れ様。セキュリティの世界では「入力値を信じるな」と耳にタコができるほど言われるが、「デシリアライゼーション（復元）」は、その格言を嘲...

「なぜかサーバーの中身が丸見え？」XXE攻撃の正体と、鍵をかけ忘れたXMLパーサーの話こんにちは！セキュリティの世界へようこそ。今日は、少し古風だけど、今もなお現役で恐ろしい攻撃手法「XXE（XML External Entity）攻撃」に...

なぜその「暗号」は破られるのか？：TLS 1.3への移行で守るデジタルな玄関こんにちは。セキュリティの世界で、日々システムを守る最前線に立っている者です。皆さんは、自宅の玄関の鍵をかけたとき、その鍵が「100年前の壊れやすいおもちゃの鍵」だ...

SMS OTPという「終わった遺産」と、認証の未来をFIDO2に託すべき必然的理由セキュリティの世界で最も忌むべきは、「慣習」を「安全」と履き違えることだ。多くの企業が未だに多要素認証（MFA）としてSMSや音声通話によるワンタイムパスワー...

SMS認証はもう「穴だらけ」だ。今すぐFIDO2への移行を検討すべき理由「MFAを導入しているから大丈夫」。そう油断しているエンジニアほど、インシデント発生時に顔面蒼白になる。現場で多くの不正アクセスを見てきたが、SMSや音声によるワンタイ...

レート制限の「その先」：分散型ブルートフォースと戦うためのアーキテクト的思考多くの開発者が「レート制限」を実装する際、RedisのINCRコマンドとEXPIREを組み合わせて、IPアドレスごとにリクエスト数をカウントする実装で満足している。...

なぜ「APIのレート制限」があなたのシステムの最後の砦なのかやあ。現場で泥をすすりながらインシデント対応をしているエンジニア諸君なら、一度は目にしたことがあるはずだ。「なぜか特定のAPIだけ負荷が高い」「ユーザーDBへの辞書攻撃でアカウント...

ブラウザの「親切心」という名の脆弱性：X-Content-Type-Options: nosniff の深淵セキュリティの世界には、「機能の利便性は、攻撃者の最大の武器になる」という鉄則がある。Webブラウザというやつは、ユーザー体験を損な...

現場のエンジニア諸君、お疲れ様。今日もどこかのログで怪しいトラフィックが跳ねているかもしれないが、まずは落ち着いて「基本の徹底」から始めよう。セキュリティの世界では、複雑なゼロデイ脆弱性ばかりに目を奪われがちだが、実は「ブラウザの余計なお節...