もっと知りたい！じっくりプログラミング講座（中級者編）第13回：セキュリティの基本知識
はじめに
さあ、第13回の講座の内容にまいりましょう。コードを書く喜びが深まるにつれて、守るべきものもまた増えてゆくもの。それがセキュリティという領域でございます。知識を持たぬまま進めば、あなたの丁寧な努力が、思わぬ形で傷つくことになりかねません。今回は、開発者として必ず押さえておきたいセキュリティの基本を、しっかりとご一緒に学んでまいりましょう。
サマリ
今回は、プログラミングにおけるセキュリティの基本知識を丁寧に整理いたします。よくある脆弱性の種類や、攻撃の仕組み、そして実践的な防御の考え方まで、中級者として知っておくべきポイントをわかりやすく解説いたします。安全なコードを書くための視点を、ぜひ今日から取り入れてみてください。
詳細
セキュリティを「後回し」にしてはいけない理由
多くの開発者が、セキュリティ対策を「機能が完成してから考えること」と捉えがちです。しかし、それは大きな落とし穴でございます。
セキュリティ上の欠陥、すなわち「脆弱性」は、設計や実装の段階で埋め込まれることがほとんどです。後から修正しようとすると、コードの大幅な見直しが必要になり、コストも労力も膨らんでしまいます。
「セキュア・バイ・デザイン」という考え方があります。これは、設計の段階からセキュリティを組み込むという姿勢です。機能を作りながら、同時にリスクを意識する習慣を持つことが、中級者として次のステップへ進む鍵となります。
代表的な脆弱性を知る：ＸＳＳとＳＱＬインジェクション
セキュリティを語るうえで、まず知っておきたいのがクロスサイトスクリプティング（ＸＳＳ）とＳＱＬインジェクションです。
ＸＳＳとは、悪意のあるスクリプトをウェブページに埋め込み、閲覧者のブラウザ上で実行させる攻撃です。たとえば、入力フォームに不正なスクリプトを仕込むことで、ユーザーのクッキー情報を盗み取ることができます。対策としては、ユーザーからの入力値を必ずエスケープ処理することが基本です。
ＳＱＬインジェクションは、データベースへの問い合わせ文（ＳＱＬ）に不正な命令を混入させる攻撃です。適切にパラメータ化されていないクエリは、攻撃者にデータベースの中身を自由に操作される危険があります。プレースホルダーやプリペアドステートメントを使うことで、この脅威を大きく減らすことができます。
認証と認可の違いをしっかり理解する
「認証」と「認可」は、似ているようで全く異なる概念です。この二つを混同すると、設計に致命的な穴が生まれます。
認証（オーセンティケーション）とは、「あなたは誰ですか？」を確認するプロセスです。ログイン時にメールアドレスとパスワードを照合するのが、その典型例です。
一方、認可（オーソライゼーション）とは、「あなたは何をする権限がありますか？」を判断するプロセスです。管理者だけが操作できるページに、一般ユーザーがアクセスできてしまう状態は、認可の設計が誤っているために起こります。
ログインできたからといって、すべての操作が許されるわけではありません。二つの概念を明確に分けて実装することが、堅牢なシステムへの第一歩です。
パスワードの安全な取り扱い方
パスワードをそのままデータベースに保存することは、絶対に避けなければなりません。万が一データが漏洩した際に、ユーザーの情報が丸ごと流出してしまいます。
正しい方法は、パスワードをハッシュ化して保存することです。ハッシュ化とは、元のデータを一定のアルゴリズムで変換し、復元できない形にする処理です。現在推奨されているアルゴリズムとしては、「ｂｃｒｙｐｔ」や「Ａｒｇｏｎ２」が挙げられます。
また、ハッシュ化と合わせて「ソルト」を付加することも重要です。ソルトとは、パスワードに付け加えるランダムな文字列のことで、同じパスワードでも異なるハッシュ値を生成できるようになります。これにより、事前に計算された攻撃手法（レインボーテーブル攻撃）への耐性が大きく高まります。
ＨＴＴＰＳと通信の暗号化
ウェブアプリケーションを公開するうえで、ＨＴＴＰＳの導入は今や必須です。ＨＴＴＰＳは、通信内容をＴＬＳ（トランスポート・レイヤー・セキュリティ）によって暗号化するプロトコルです。
暗号化されていない通信では、第三者が通信内容を傍受する「盗聴」のリスクがあります。ログイン情報やクレジットカード番号が平文で流れてしまえば、取り返しのつかない事態になりかねません。
ＴＬＳ証明書は、現在では無料で取得できるサービスも充実しています。開発環境でも本番環境でも、ＨＴＴＰＳを当たり前の前提として組み込む習慣を持ってください。また、セキュリティ関連のＨＴＴＰヘッダー（コンテント・セキュリティ・ポリシーなど）を適切に設定することも、防御の厚みを増す大切な手段です。
おわりに
セキュリティとは、一度学んで終わるものではございません。技術が進化するのと同じく、脅威もまた姿を変えながら進化してまいります。今日ご紹介した知識を土台に、日々の開発の中で「もし攻撃されたら？」という視点を持ち続けることが、真に力ある開発者への道でございます。あなたのコードが、多くの人を守る盾になることを、わたくしはいつも願っております。次回は「フレームワーク活用術」をお届けいたします。どうぞお楽しみに。
