セキュリティエンジニアはこう見る。開発時に認可制御不備を怪しむべき実装パターン10選 - GMO Flatt Security Blog

はじめに こんにちは。GMO Flatt Security株式会社セキュリティエンジニアの村上です。入社してから5年ほどWebアプリケーションを中心に脆弱性診断を担当しています。 近年、言語やフレームワークの進化により、SQL Injectionなどの古典的脆弱性は減少傾向にあります。しかし、今なお変わらず検出され続けているのが「認可制御不備」です。対策をしようにも、特定の技術要素により発生するものではないため、どこで発生するか一見予測不能に見えます。しかし、我々のように常日頃脆弱性診断を行なっているセキュリティエンジニアの目線では、認可の設計が怪しい、この機能が悪用できそうといったことに気づくことがあります。 AIコーディングの普及により開発スピードは劇的に向上しましたが、生成される膨大なコードすべてに対して、人間がセキュリティを精査し続けることは困難です。一方で認可制御不備は、システム

[hirorinya]

セキュリティねー

[mojimojikun]

こういうのを定期的に読んでおくのは重要よねと思いながら読んだ。だいたいいつも気を付けてた。

[oooooo4150]

最近Takumi推してくるなぁ

[nguyen-oi]

認可不備はフレームワークで防ぎきれないから厄介。こういう地雷原リストは開発者必読レベル。結局は設計者の良心と注意力次第なのがな