Webセキュリティ専門の学習

パスワードは「ただの鍵」じゃない。泥棒に合鍵を作らせないための「ハッシュ化」入門こんにちは。セキュリティの世界へようこそ。あなたは、自分の家の鍵を道端に落としてしまったらどうしますか？ 鍵を拾った泥棒は、それを複製していつでもあなたの家に忍...

なぜ、あなたのウェブサイトは「鍵をかけたはず」なのに盗聴されるのか？こんにちは。セキュリティの現場で日々、見えない脅威と戦っているエンジニアです。今日は、Web開発を始めたばかりの皆さんが必ずぶつかる壁であり、かつ「実は一番怖い」と言っても...

セッション固定攻撃の深淵：ログイン後の「ID再生成」をサボるなセキュリティの現場で長年戦っていると、いまだに「なぜセッションIDを再生成しないのか？」という根本的な設計ミスに遭遇する。これはOWASP Top 10の古典的項目だが、現代の複...

認証の「通過儀礼」を忘れるな：セッション固定攻撃を根絶するセッション再生成の技術現場でコードレビューをしていると、未だに「認証さえ通ればあとは安全」という甘い認識に足をすくわれるケースをよく目にする。特に、認証の前後でセッションIDを使い回...

玄関の鍵を渡す「ふり」をする泥棒？セッション固定攻撃の正体こんにちは。セキュリティの世界に足を踏み入れた皆さん、ようこそ。今日は、Webアプリ開発の現場で「絶対に忘れてはいけない」基本中の基本、セッション固定攻撃（Session Fixat...

認可コードの「通り道」を塞げ：OAuth 2.0 リダイレクトURI検証の深淵OAuth 2.0は、現代のID基盤の要石だが、その仕様の柔軟さが裏目に出るケースが後を絶たない。特に、認可コードフローにおけるリダイレクトURIの検証不備は、単...

OAuth 2.0の「リダイレクトURI」を甘く見るな――その一行の妥協が、ユーザーを地獄へ引きずり込むエンジニア諸君、今日もセキュアなコードを書いてるか？「OAuth 2.0の実装なんてライブラリを使えば一発だよ」なんて考えているなら、今...

玄関の鍵を「だいたい合っていればOK」にしていませんか？OAuthの「リダイレクトURI」で絶対に守るべき鉄則こんにちは。セキュリティの現場で日々、泥臭いインシデントと格闘しているエンジニアです。今日は、OAuth 2.0という「便利な鍵の...

不安全なデシリアライズ：バイトストリームに潜む「実行可能な毒」の解剖学アプリケーションセキュリティの深淵を覗くとき、私たちはしばしば「信頼境界」の脆さに直面する。OWASP Top 10の常連でありながら、いまだに多くのエンタープライズシス...

なぜ「デシリアライズ」はエンジニアを破滅させるのか？ ― 現場で語られない真実やあ。今日も本番環境のログと睨めっこしているか？ アプリケーションセキュリティの現場で、最も「静かに、だが確実に」システムを終わらせる脆弱性、それが不安全なデシリ...