コペンハーゲン・ブック: Webアプリケーションで認証を実装するための一般的なガイド

• コペンハーゲン・ブック

  • コペンハーゲン・ブックは、Webアプリケーションで認証を実装するための一般的な指針を提供する、無料のオープンソースプロジェクト
  • コミュニティによって維持されており、ときに主観的または不完全な場合もあるが、オンラインリソースの空白を埋めることを目指している
  • OWASP Cheat Sheet Series とあわせて使用することが推奨されている

• サーバー側トークン

  • サーバー側でトークンを管理してセキュリティを強化する方法を説明

• セッション

  • ユーザーセッション管理を通じて継続的な認証状態を維持する方法を説明

• パスワード認証

  • 安全なパスワード認証方法に関する指針を提供

• メール認証

  • メールによるユーザー認証手順を説明

• パスワードリセット

  • パスワードリセット機能を実装する方法を説明

• ランダム値の生成

  • セキュリティに必要なランダム値を生成する方法を説明

• OAuth

  • OAuthプロトコルを使用して認証を実装する方法を説明

• 多要素認証 (MFA)

  • MFAによってセキュリティを強化する方法を説明

• WebAuthn

  • WebAuthnを使用してWeb認証を実装する方法を説明

• クロスサイトリクエストフォージェリ (CSRF)

  • CSRF攻撃を防ぐ方法を説明

• オープンリダイレクト

  • オープンリダイレクトの脆弱性を防ぐ方法を説明

• 暗号化

  • 暗号化技術を使用してデータを保護する方法を説明

• ECDSA

  • ECDSAアルゴリズムを使用してデジタル署名を実装する方法を説明

• リンク

  • GitHubリポジトリ、Twitter、OWASP Cheat Sheet Series、寄付リンクを提供

GN⁺のまとめ

• コペンハーゲン・ブックは、Webアプリケーションの認証実装に関する包括的な指針を提供する、開発者にとって有用なリソース
• さまざまな認証方法とセキュリティ強化技術を扱っており、セキュリティへの理解を深めるのに役立つ
• OWASP Cheat Sheet Series とあわせて使うことでより効果的になり、セキュリティ脆弱性の防止に貢献できる
• 類似の機能を持つプロジェクトとしては、OWASPの各種ガイドラインやNISTのセキュリティ勧告がある

[GN⁺]

Hacker Newsの意見

• Luciaライブラリの作者が、もはやLuciaは認証実装に適していないと感じ、その代わりとなるガイドシリーズを公開した

  • 初期ガイドのプレビューが提供されており、読んでいて楽しく、The Copenhagen Bookによく合っている

• セキュリティ関連リソースの90%は専門家でない人には理解しづらいが、このガイドは明快で簡潔、しかも実行に移しやすい

  • 楕円曲線に関する部分は、依然として理解が難しい

• 多くのセキュリティ助言は難解で、ときにはばかげているように感じられるが、このガイドは新鮮で理解しやすい助言を提供している

  • JWTに関するセクションが追加されるとよい

• "auth"が認証(authn)なのか認可(authz)なのかを明確にしてほしい

  • 認証を意味しているようだ

• UUIDv4は十分なエントロピーを持つ一方で、暗号学的に安全ではない可能性があると触れていたのが印象的だった

  • ほとんどのアプリケーションでは問題にならないが、認識しておく必要はある

• パスワードは最低8文字以上であるべきで、zxcvbnのようなライブラリを使って弱いパスワードをチェックすべき

  • 高セキュリティのサイトにはよいが、使い捨てアカウントのために長いパスワードを生成するのは面倒

• なぜ"Copenhagen Book"という名前なのか知っている人はいる？

• 認証は一度実装すれば、どこでも使える

• ウェブサイトが「ログアウトするまでセッションが期限切れにならない」ことを選べるオプションを提供してくれたらよいのに

  • GitHubのセッション期限切れと2FAが不便で、Giteaに移行した
  • セキュリティモデルに柔軟性がなければ、顧客を失う可能性がある

• 素晴らしいガイドで、感謝している