Entry № 144
認証の不備
認証の不備 とは何ですか?
認証の不備認証やセッション管理の欠陥により、攻撃者が正規ユーザーになりすましたり、アカウントを乗っ取れたりする脆弱性カテゴリ。
認証の不備とは、アプリの本人確認を回避・無力化できるあらゆる欠陥を指します。弱いパスワードの許容、ブルートフォース対策の欠如、推測可能または有効期限のないセッショントークン、安全でないパスワードリセット、MFA の欠如、JWT 署名の欠陥、認証情報の平文保存などが該当します。OWASP Top 10 の常連であり、クレデンシャルスタッフィングやアカウント乗っ取りの基盤です。対策には、固有の強いパスワード、MFA、レート制限とロックアウト、安全な保管(Argon2/bcrypt とソルト)、短命の署名付きセッショントークン、監査されたリセット/復旧フローが含まれます。
● 例
- 01
URL にセッション ID を含め、ログイン後もローテーションしないアプリ。
- 02
4 桁の数字トークンをメール送信するパスワードリセット。
● よくある質問
認証の不備 とは何ですか?
認証やセッション管理の欠陥により、攻撃者が正規ユーザーになりすましたり、アカウントを乗っ取れたりする脆弱性カテゴリ。 サイバーセキュリティの 脆弱性 カテゴリに属します。
認証の不備 とはどういう意味ですか?
認証やセッション管理の欠陥により、攻撃者が正規ユーザーになりすましたり、アカウントを乗っ取れたりする脆弱性カテゴリ。
認証の不備 からどのように防御しますか?
認証の不備 に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。
認証の不備 の別名は何ですか?
一般的な別名: 識別・認証の不備, 認証バイパス。