#セキュリティ
9 件の記事
NIST CSF 2.0に学ぶ安全なAPIトークン設計｜防御と検知から逆算する実装パターン
Personal Access Token（PAT）のようなAPIトークン機能を、NIST CSF 2.0の6つの機能（Govern・Identify・Protect・Detect・Respond・Recover）から逆算して設計する。DBスキーマ、トークン形式、スコープ検証、異常検知、Secret Scanning連携、失効までを実装例つきで整理する。
リスクアセスメントに着手する前に押さえる前提知識
リスクアセスメントを始める前に押さえておきたい前提知識を整理する。資産・脅威・脆弱性・リスクの基礎概念を軸に、NIST SP 800-30・ISO/IEC 27005・OWASP ASVS・NIST SP 800-63B・CVSS v4.0 の位置づけと、脅威モデリングや MITRE ATT&CK までを一枚の地図として俯瞰する。
SPAのトークンをどこに置く？BFF＋セッションで守る認証構成
SPAでアクセストークンをどこに保存するか（localStorageの危険性）、BFF＋セッションでトークンをブラウザに渡さない構成、そして最初はトークンレスで十分な理由を解説する。
サービス間認証の全体像とは？mTLS・Token Exchange・SPIFFE・ゼロトラスト
マイクロサービス間の認証を「ネットワーク層/トークン層/アイデンティティ基盤」の3レイヤで整理する。mTLS・Token Exchange（RFC 8693）・SPIFFE・ゼロトラスト（NIST SP 800-207）・BeyondProdまで解説する。
暗号の基礎：共通鍵・公開鍵・一方向性関数・ハッシュ・デジタル署名
共通鍵暗号と公開鍵暗号の違いから、RSAやECCを支える一方向性関数・トラップドア関数、ハッシュ関数、デジタル署名まで、暗号技術の基礎部品を一次ソースを示しながら解説する。公開鍵の用途を署名・暗号化・鍵交換の3つに整理する、暗号シリーズ全3回の第1回。
暗号技術の応用：TLS・JWT・SSH
TLS・JWT/JWS・SSHという身近なプロトコルが、共通鍵・公開鍵・署名・鍵交換・PKIをどう組み合わせているかを、公開鍵の3用途（署名・暗号化・鍵交換）の視点でRFCを引きながら解説する。暗号シリーズ全3回の最終回。
鍵交換とPKI：Diffie-Hellmanと証明書・認証局
Diffie-Hellman鍵交換による共通鍵の安全な共有と、前方秘匿性をもたらすECDHE、そして証明書・認証局・信頼チェーンからなるPKIの仕組みを、RFCなどの一次ソース付きで解説する。暗号シリーズ全3回の第2回。
公開鍵の3つの使い道 ―署名・暗号化・鍵交換で実応用を読み解く
公開鍵（鍵ペア）の用途は署名・暗号化・鍵交換の3つに集約できる。SSH公開鍵認証・WebAuthn・mTLS・private_key_jwt・コード署名・コンテナ署名などの実応用をこの3分類で整理し、HMACなど共通鍵との違いも一次ソース付きで解説する。
GoogleChromeでBurp Suiteを使う手順
脆弱性診断などのために、Burp SuiteをGoogle Chromeで使えるようにするための設定について解説する記事です。ProxySwitchSharpのようなプロキシ切り替え拡張の利用や、Burpの通信を復号するためのCA証明書のセットアップといった、一連の手順を紹介します。