Webセキュリティ専門の学習

OIDC UserInfoエンドポイントの深淵：認可の「隠れた境界線」をどう守るかセキュリティ・アーキテクトとして多くの現場を渡り歩いてきたが、依然としてアプリケーション開発の最前線で「UserInfoエンドポイント」が単なるデータ取得AP...

OIDCのUserInfoエンドポイントは「ただのデータ提供口」ではない。君が落としがちな盲点と守り方現場でコードレビューをしていると、OpenID Connect (OIDC) の実装で「認証さえ通れば、UserInfoエンドポイントはア...

鍵を渡したはずなのに…？OIDC「UserInfoエンドポイント」で絶対に守るべき鉄則こんにちは！セキュリティの世界へようこそ。今日は、最近のWeb開発では避けて通れない「OpenID Connect (OIDC)」の、ちょっとした落とし穴...

「家の鍵」を盗まれたらどうする？セッション管理とフィンガープリントの真実こんにちは！セキュリティの現場で日々、泥臭い攻防を繰り広げているエンジニアです。今日は、Webアプリケーションの守りの要である「セッション管理」についてお話しします。特...

OAuth 2.0の「スコープ」は信頼の境界線である：過剰権限が招く連鎖的侵害とアーキテクチャの防壁多くの開発者がOAuth 2.0のスコープを単なる「機能のON/OFFスイッチ」だと誤解している。だが、現場のインシデント・レスポンスに身を...

OAuth 2.0の「スコープ過多」は、あなたのアプリを誰にでも開く「マスターキー」になる現場でインシデント対応をしていると、笑えない事態に直面することがある。例えば、ユーザーのメールアドレスを取得したいだけの小さなWebアプリが、full...

「鍵を全部渡してない？」OAuth 2.0のスコープで守る、あなたのアプリの「裏口」こんにちは。セキュリティの世界で泥臭いインシデントと戦い続けているエンジニアです。今日は「OAuth 2.0のスコープ」という、一見すると地味だけど実はめち...

「席を外した隙にあなたのPCが乗っ取られる？」セッションタイムアウトの極意を伝授しますこんにちは。現場でシステムを守り続けているセキュリティエンジニアです。今日は、開発者やIT担当者が意外と見落としがちな「セッションタイムアウト」についてお...

JWTは「透明な箱」である：機密情報の投棄とJWEによる再設計のパラダイム多くの開発者が陥る最初の罠は、JWT（JSON Web Token）を「セキュアなコンテナ」だと誤認することだ。結論から言えば、JWTのペイロードはBase64Url...

JWTの「署名＝保護」という勘違いを正す ― 機密情報漏洩の盲点とJWEによる解決策JWT（JSON Web Token）は今やWeb認証のデファクトスタンダードだ。しかし、現場のコードレビューで「これ、JWTの中にユーザーのメールアドレス...