Webセキュリティ専門の学習

「シークレットをソースに書くのは死を意味する」——OAuth 2.0 クライアント認証の現場的防衛術「先輩、API連携の認証情報、とりあえず .env に書いておけば大丈夫ですよね？」新人エンジニアからこう聞かれたとき、私は背筋が凍る思いを...

あなたの「秘密の鍵」、プログラムのソースコードに置きっぱなしにしていませんか？こんにちは。セキュリティの現場で、日々「うっかり」から生まれるインシデントと戦っているエンジニアです。今日は、皆さんが開発するアプリケーションが、他のサービス（G...

セッションID生成の深淵：エントロピーの枯渇と「予測」という名の死神多くの開発者が「セッションIDなんてUUIDを投げておけばいいだろう」と高を括る。しかし、我々のような最前線の人間から見れば、その慢心がどれほど致命的なバックドアを招くか、...

セッションIDの「予測」は致命傷：CSPRNGを使わない開発者が犯す最大の過ちいいか、現場で一番怖いのは「なんとなく動いているコード」だ。特に、Webアプリケーションの心臓部である「セッション管理」。ここを甘く見ているエンジニアは、たとえ他...

鍵は「合鍵屋さん」が作るもの？それとも「サイコロ」で決めるもの？こんにちは。セキュリティの世界へようこそ。今日は、Webサイトの入り口である「セッションID」について、少しだけ掘り下げてお話しします。皆さんは、自分の家の鍵を作るとき、どうし...

JWTの署名アルゴリズム：RS256 vs HS256、その「見えない境界線」を設計するセキュリティアーキテクトであれば、JWT（JSON Web Token）の実装における「アルゴリズム選択」が、単なる暗号方式の選定ではなく、システム全体...

JWTの署名アルゴリズム、なぜ「RS256」一択なのか？ 現場で語られない「HS256」の罠現場のコードレビューをしていると、未だにJWT（JSON Web Token）の署名アルゴリズムに「HS256」を平然と使っているプロジェクトを見か...

こんにちは。現場の最前線でコードと格闘し、時にインシデントの火消しに奔走しているエンジニアの皆さん、お疲れ様です。今日は、Webアプリ開発の現場で避けては通れない「JWT（JSON Web Token）」の、特に「署名アルゴリズム」の話をし...

リフレッシュトークン・ローテーション：その「脆い平穏」をいかにして堅牢な防衛線へ昇華させるかOAuth 2.0のフローを設計する際、リフレッシュトークンを単なる「アクセストークンの延長キー」として扱っているなら、それは既に攻撃者への招待状を...

「リフレッシュトークンは一生モノ」という幻想を捨てろ：OAuth 2.0 ローテーションの深淵現場でコードを叩いている諸君、ご苦労。セキュリティの現場に長くいると、「OAuth 2.0はもう完璧に実装した」と胸を張るエンジニアに出くわすが、...