#認証
20 件の記事
NIST CSF 2.0に学ぶ安全なAPIトークン設計｜防御と検知から逆算する実装パターン
Personal Access Token（PAT）のようなAPIトークン機能を、NIST CSF 2.0の6つの機能（Govern・Identify・Protect・Detect・Respond・Recover）から逆算して設計する。DBスキーマ、トークン形式、スコープ検証、異常検知、Secret Scanning連携、失効までを実装例つきで整理する。
Webアプリのセキュリティを学ぶためのおすすめ本8選【認証・認可・セキュア設計】
Webアプリケーションのセキュリティを体系的に学ぶための定番書を、認証・認可からセキュアな設計まで8冊まとめた。OAuthによる認可、デジタルアイデンティティ、セキュアな設計・実装の順に紹介し、各書の個別レビューへ移動できる。
SPAのトークンをどこに置く？BFF＋セッションで守る認証構成
SPAでアクセストークンをどこに保存するか（localStorageの危険性）、BFF＋セッションでトークンをブラウザに渡さない構成、そして最初はトークンレスで十分な理由を解説する。
サービス間認証の全体像とは？mTLS・Token Exchange・SPIFFE・ゼロトラスト
マイクロサービス間の認証を「ネットワーク層/トークン層/アイデンティティ基盤」の3レイヤで整理する。mTLS・Token Exchange（RFC 8693）・SPIFFE・ゼロトラスト（NIST SP 800-207）・BeyondProdまで解説する。
OIDCのログアウトとSecurity Event Token（SET）とは？
OpenID ConnectのFront-Channel LogoutとBack-Channel Logout、そしてSecurity Event Token（RFC 8417 SET）によるセッション失効・イベント通知の仕組みを解説する。
JOSEとは？JWT・JWS・JWE・JWK・JWAの全体像と安全な使い方
JOSE（JWT/JWS/JWE/JWK/JWA）の全体像を解説する。JWTとJWSの違い、署名の3パートと暗号化の5パートの構造、alg混同やnone攻撃を防ぐJWT BCP（RFC 8725）まで整理する。
暗号技術の応用：TLS・JWT・SSH
TLS・JWT/JWS・SSHという身近なプロトコルが、共通鍵・公開鍵・署名・鍵交換・PKIをどう組み合わせているかを、公開鍵の3用途（署名・暗号化・鍵交換）の視点でRFCを引きながら解説する。暗号シリーズ全3回の最終回。
公開鍵の3つの使い道 ―署名・暗号化・鍵交換で実応用を読み解く
公開鍵（鍵ペア）の用途は署名・暗号化・鍵交換の3つに集約できる。SSH公開鍵認証・WebAuthn・mTLS・private_key_jwt・コード署名・コンテナ署名などの実応用をこの3分類で整理し、HMACなど共通鍵との違いも一次ソース付きで解説する。
パスキーのすべて ―導入・UX設計・実装
『パスキーのすべて ―導入・UX設計・実装』の書評。パスワードの限界やフィッシング耐性というパスキー登場の文脈から、WebAuthn・FIDOの仕様、サーバーや各プラットフォームでの実装、ログインUXの設計、端末紛失やリカバリといった運用の落とし穴までを1冊で扱う解説書。
デジタルアイデンティティのすべて―安全かつユーザー中心のアイデンティティシステムを実現するための知識
『デジタルアイデンティティのすべて』の書評。デジタルアイデンティティの概念から実装までを体系的かつ広範に解説する一冊。OAuth 2.0やOpenID Connect、SAML、ゼロトラスト、分散型IDまで網羅し、認証・認可基盤を設計・運用するエンジニアに広い視野を与える。
はじめてのデジタルアイデンティティ―Webサービスに欠かせない認証・認可・ID管理
『はじめてのデジタルアイデンティティ―Webサービスに欠かせない認証・認可・ID管理』の書評。Webサービスにおける認証・認可・ID管理の基礎を、実例を交えて平易に解説する一冊。OAuth 2.0やOpenID Connect、SAMLの仕組みから、シングルサインオンやソーシャルログイン、IDaaSの活用まで幅広く扱う入門書。
OAuth 2.0とは？フロー・トークン・実装の完全解説
OAuth 2.0 を網羅的に解説。認可フロー・アクセストークン・リフレッシュトークン・スコープ、API セキュリティ実装のための実践的なノウハウを紹介します。
OpenID Connect 1.0 仕様まとめ
OpenID Connect Core 1.0の仕様に基づいて要点を整理した記事です。OAuth 2.0の上に認証のレイヤーを重ねる仕組みとして、IDトークンやJWTのクレーム、認証フロー、署名・暗号化といった要素を取り上げ、仕様書のポイントを実装の観点から詳しく解説します。
SAML 2.0とは？SSOとフェデレーテッドアイデンティティの仕組みを解説
OASIS SAML 2.0の仕様に基づいて要点を整理した記事です。SAML（Security Assertion Markup Language）とは何かという基本から、SSO（シングルサインオン・フェデレーテッドアイデンティティを実現する仕組みや認証のフロー、そして実装上の注意点までを解説します。
セッションベースとトークンベースの認証方式について
Webアプリケーションにおける認証方式の選択について、セッションベース認証とトークンベース認証を比較して解説する記事です。それぞれの技術的な仕組みの詳細をふまえ、スケーラビリティやセキュリティ、保守性といった観点から、どちらを選ぶべきかを考えるための考慮事項を整理します。
雰囲気で使わずきちんと理解する！整理してOAuth2.0を使うためのチュートリアルガイド
『雰囲気で使わずきちんと理解する！整理してOAuth2.0を使うためのチュートリアルガイド』の書評。OAuth2.0を雰囲気で使うのではなく、仕組みを整理して理解するための入門書。読みやすく、OAuth2.0のフローを最初につかむのに適している。
OAuth2、OIDCのキャッチアップのための資料
OAuth2、OIDC、JWTといった認証・認可の標準仕様をキャッチアップするために読み漁った資料をまとめた記事です。OpenID Connect Coreなどの仕様書をはじめ、書籍や実装ガイドまで、これらの技術を理解するうえで参考になったリソースを紹介します。
OAuth、OAuth認証、OpenID Connectの違いを整理して理解できる本
『OAuth、OAuth認証、OpenID Connectの違いを整理して理解できる本』の書評。混同されがちなOAuth、OAuth認証、OpenID Connectの違いを、入門者にもわかりやすく整理して解説する一冊。それぞれの役割と使いどころを理解する取っ掛かりになる。
認証・認可の基本
認証・認可の基本を再確認するためにまとめた記事。認証サービスの開発に携わるなかで、識別やRBAC・ABAC、資格情報の種類、シングルサインオン、SAML 2.0、OAuth 2.0、OpenID Connectといった基礎を、実務の文脈をふまえて整理する。
ステートレスとステートフル
ステートレスとステートフルなプロトコルの違いを解説。HTTP・UDP・IPはステートレス、FTP・TCP・SMTPはステートフルであることや、セッションによる状態管理への影響を整理します。