セキュリティ
13 件の記事
NIST CSF 2.0に学ぶ安全なAPIトークン設計｜防御と検知から逆算する実装パターン
Personal Access Token（PAT）のようなAPIトークン機能を、NIST CSF 2.0の6つの機能（Govern・Identify・Protect・Detect・Respond・Recover）から逆算して設計する。DBスキーマ、トークン形式、スコープ検証、異常検知、Secret Scanning連携、失効までを実装例つきで整理する。
Webアプリのセキュリティを学ぶためのおすすめ本8選【認証・認可・セキュア設計】
Webアプリケーションのセキュリティを体系的に学ぶための定番書を、認証・認可からセキュアな設計まで8冊まとめた。OAuthによる認可、デジタルアイデンティティ、セキュアな設計・実装の順に紹介し、各書の個別レビューへ移動できる。
セキュアAPI 設計・構築・実装を貫く原則
『セキュアAPI 設計・構築・実装を貫く原則』の書評。APIのセキュリティを、設計から構築・実装まで一貫した原則として扱う一冊。認証・認可、TLS、シークレット管理、依存関係の脆弱性、CI/CDまで、APIのライフサイクル全体を「なぜ必要か」という脅威の観点から整理する。
リスクアセスメントに着手する前に押さえる前提知識
リスクアセスメントを始める前に押さえておきたい前提知識を整理する。資産・脅威・脆弱性・リスクの基礎概念を軸に、NIST SP 800-30・ISO/IEC 27005・OWASP ASVS・NIST SP 800-63B・CVSS v4.0 の位置づけと、脅威モデリングや MITRE ATT&CK までを一枚の地図として俯瞰する。
パスキーのすべて ―導入・UX設計・実装
『パスキーのすべて ―導入・UX設計・実装』の書評。パスワードの限界やフィッシング耐性というパスキー登場の文脈から、WebAuthn・FIDOの仕様、サーバーや各プラットフォームでの実装、ログインUXの設計、端末紛失やリカバリといった運用の落とし穴までを1冊で扱う解説書。
デジタルアイデンティティのすべて―安全かつユーザー中心のアイデンティティシステムを実現するための知識
『デジタルアイデンティティのすべて』の書評。デジタルアイデンティティの概念から実装までを体系的かつ広範に解説する一冊。OAuth 2.0やOpenID Connect、SAML、ゼロトラスト、分散型IDまで網羅し、認証・認可基盤を設計・運用するエンジニアに広い視野を与える。
はじめてのデジタルアイデンティティ―Webサービスに欠かせない認証・認可・ID管理
『はじめてのデジタルアイデンティティ―Webサービスに欠かせない認証・認可・ID管理』の書評。Webサービスにおける認証・認可・ID管理の基礎を、実例を交えて平易に解説する一冊。OAuth 2.0やOpenID Connect、SAMLの仕組みから、シングルサインオンやソーシャルログイン、IDaaSの活用まで幅広く扱う入門書。
セキュア・バイ・デザイン: 安全なソフトウェア設計
『セキュア・バイ・デザイン 安全なソフトウェア設計』の書評。個別の脆弱性対応ではなく、ソフトウェア設計そのものからセキュリティを高めるアプローチを説く一冊。DDDを中心に据え、ドメインのモデリングを丁寧に行うことで、セキュリティを機能ではなく設計に自然と織り込むという考え方を示す。
セキュアで信頼性のあるシステム構築 ―Google SREが考える安全なシステムの設計、実装、保守
『セキュアで信頼性のあるシステム構築』の書評。セキュリティと信頼性を、単に実装するものではなくデプロイや運用から生まれる「創発特性」として捉える一冊。プロジェクトの初期段階から両者を設計に織り込むことの大切さを、Google SREの知見をもとに説く。
OAuth徹底入門 セキュアな認可システムを適用するための原則と実践
『OAuth徹底入門 セキュアな認可システムを適用するための原則と実践』の書評。OAuthについて詳しく解説した数少ない一冊。認可の原則から実践までを扱い、入門書を読んだあと、仕様書を読み込む前の橋渡しとして手元に置いておきたい。
OAuth・OIDCへの攻撃と対策を整理して理解できる本（リダイレクトへの攻撃編）
『OAuth・OIDCへの攻撃と対策を整理して理解できる本（リダイレクトへの攻撃編）』の書評。OAuthやOpenID Connectの基本的なセキュリティを、攻撃と対策の観点からやさしく整理してくれる一冊。リダイレクトにまつわる攻撃を題材に、勘所を理解できる。
雰囲気で使わずきちんと理解する！整理してOAuth2.0を使うためのチュートリアルガイド
『雰囲気で使わずきちんと理解する！整理してOAuth2.0を使うためのチュートリアルガイド』の書評。OAuth2.0を雰囲気で使うのではなく、仕組みを整理して理解するための入門書。読みやすく、OAuth2.0のフローを最初につかむのに適している。
OAuth、OAuth認証、OpenID Connectの違いを整理して理解できる本
『OAuth、OAuth認証、OpenID Connectの違いを整理して理解できる本』の書評。混同されがちなOAuth、OAuth認証、OpenID Connectの違いを、入門者にもわかりやすく整理して解説する一冊。それぞれの役割と使いどころを理解する取っ掛かりになる。