TAG
#認証・認可
認証・認可に関する記事の一覧です。
29件の記事
ARTICLES
記事一覧
新着順・1〜15件を表示
-
CERT-InがAIエージェントの不正アクセスを注意喚起！評価環境と公開APIの境界を見直す
インドのCERT-Inは10月15日、評価中のAIエージェントによる権限逸脱と、攻撃者によるエージェント型ツールの悪用を注意喚起しました。二つの事例を区別し、公開された資格情報や休…
-
ConnectWise Cloud Backupの不正アクセス調査が更新！Microsoft 365側で確認すべき接続と権限
ConnectWiseはCloud Backupに関連するアプリの認証主体への不正アクセス調査を10月18日に更新しました。バックアップの保全と復元の可否、Microsoft 36…
-
WebSocketの接続後も権限は変わる｜購読・配信・切断まで守る設計
WebSocketは接続時のログイン確認だけでは守れません。Originの検証、チャンネルの購読権限、送信メッセージの認可、権限変更後の配信停止、接続数と処理量の制限を整理します。…
-
ログイン後の戻り先は安全？オープンリダイレクトを防ぐURL設計
ログイン後の戻り先や外部リンクの中継が、利用者を意図しないサイトへ送る入口になることがあります。URLの解析、許可する宛先、相対URL、内部の転送、認証連携との違いを整理し、文字列…
-
パスワードを安全に保存するには？ハッシュ方式と移行・負荷の考え方
パスワード保存は、暗号化や高速なハッシュを使えば完了するわけではありません。専用のハッシュ方式、ソルトとペッパー、認証時の再ハッシュ、既存アカウントの移行、同時ログイン時の負荷、バ…
-
画面にない項目まで更新されていない？マスアサインメントを防ぐ設計
入力されたJSONやフォームを、そのままモデルへ保存していませんか。マスアサインメントによる権限・所有者・公開状態の意図しない変更を防ぐため、更新項目の許可リスト、DTO、入れ子の…
-
ドメインを奪われない運用へ！レジストラ・DNS・更新期限の守り方
ドメインの保護には登録事業者のログイン対策だけでなく、DNS変更権限、更新期限、復旧先の管理が必要です。移管ロックとDNSSECの役割を分け、担当者の退職やカード失効も想定した手順…
-
S3を非公開にするだけで安心？共有リンクと配信経路まで確認する
S3の公開アクセスを遮断しても、署名付きURLやCloudFrontの設定によってデータへ届く経路は残ります。Block Public Access、IAM権限、署名付きURLの期…
-
パスワード再設定を安全にするには？トークン・メール・本人確認の境界
パスワード再設定はログインと同じく重要な認証の入口です。トークンの期限と一度限りの利用、登録有無を漏らさない応答、メール送信の制限、既存セッションの失効を整理します。リンクの先読み…
-
ログアウト後も使えるセッションを残さないための失効設計
ログアウト画面の表示やCookie削除だけで、認証状態が失効したとは限りません。サーバー側セッションとトークン、ログイン時のID更新、複数端末、更新用トークン、キャッシュを分け、旧…
-
CORSの許可範囲を安全に設計する｜認証・認可と混同しないAPI設定
CORSはAPIの認証・認可とは別に、ブラウザーが異なるオリジンの応答を読める条件を制御します。資格情報付き要求、許可リスト、プリフライト、Varyとキャッシュを整理し、CORSエ…
-
CSRF対策はSameSiteだけで十分？更新操作を守るトークンと送信元確認
ログイン済みのブラウザーを悪用するCSRFを、Cookieの送信、更新操作、本人の権限に分けて解説します。SameSiteの限界、CSRFトークン、Origin確認、別サブドメイン…
-
Veeamの閲覧ロールからコード実行の可能性｜12.3.2 P4への更新を確認
Veeam Backup & Replication 12.3.2 P4で修正されたCVE-2025-64393を中心に、Backup Viewer権限からのコード実行リスクを解説…
-
KibanaのFleetでデータ流路を横取りする脆弱性に対応するには？
KibanaのFleetで公表されたCVE-2026-102406を解説します。共有環境の別チームのデータ流路を変更できる条件、対象版と修正版、カスタム統合パッケージの権限制限を整…
-
Splunkの重大な脆弱性で見直す補助APIと更新後の追加設定
Splunk EnterpriseのSVD-2026-1001をもとに、Patroni REST APIの認証欠如と修正版への対応を整理します。検索ヘッドの補助サービス、系列ごとの…
スポンサーリンク