Security glossary
セキュリティプロトコル・技術用語一覧
通信、認証、暗号化、Webの安全性を支える技術用語をまとめました。名称の暗記だけでなく、どこで使われ、何を守る仕組みなのかを確認できます。
250 語を収録
Terms
プロトコル・技術の用語
Access Token 実務 Access Token APIやリソースへアクセスするために提示する短命なトークン。漏えい時は有効期限、権限範囲、失効可否を確認する。 意味と関連用語を見る ACME 実務 Automatic Certificate Management Environment ドメイン管理権限の確認、証明書の発行、更新、失効などを自動化するためのプロトコル。TLS証明書の短期化と更新漏れ防止に使われる。 意味と関連用語を見る AES 実務 Advanced Encryption Standard 現在最も広く使われる対称暗号アルゴリズム。128・192・256ビットの鍵長をサポート。ECB・CBC・GCMなど複数の動作モードがある。GCMモードが認証付き暗号化に推奨される。 意味と関連用語を見る API Key 入門 API Key API利用者やアプリケーションを識別・認可するために発行される秘密文字列。漏えい時は不正利用される可能性がある。 意味と関連用語を見る API Schema 実務 API Schema APIのエンドポイント、入力、出力、型、認証、エラー形式などを機械可読に表した仕様情報。 意味と関連用語を見る API Token 実務 API Token API利用者やアプリケーションを識別し、操作権限を与えるための秘密値。漏えい時は失効と再発行が必要になる。 意味と関連用語を見る App Registration 実務 App Registration IdPやSaaSにアプリケーションを登録し、リダイレクトURI、権限、資格情報、同意範囲を管理する設定単位。 意味と関連用語を見る ARC 実務 Authenticated Received Chain メール転送やメーリングリストを経由した後でも、元の認証結果を一定程度検証できるようにする仕組み。 意味と関連用語を見る Assertion Consumer Service 実務 Assertion Consumer Service SAMLログインで、IdPから返されたSAMLアサーションをサービス側が受け取るエンドポイント。ACS URLとも呼ばれる。 意味と関連用語を見る Audience Claim 実務 Audience Claim JWTの利用先を示すClaim。トークンがどのAPIやサービス向けに発行されたかを表し、受け取る側で必ず確認すべき値。 意味と関連用語を見る Authenticator Attestation 発展 WebAuthn Authenticator Attestation WebAuthnの登録時に、認証器の由来や特性に関する検証可能な情報をRelying Partyへ伝える仕組み。利用時はプライバシーとの均衡が必要。 意味と関連用語を見る Authorization Code Flow 実務 Authorization Code Flow OAuth/OIDCで利用者を認可サーバーへリダイレクトし、認可コードをトークンに交換する標準的なフロー。WebログインやSaaS連携で広く使われる。 意味と関連用語を見る BGPsec 発展 Border Gateway Protocol Security BGPの経路更新にASごとの暗号学的な署名を加え、受信側が経路のASパスが途中で不正に変更されていないかを検証するためのプロトコル拡張。 意味と関連用語を見る BIMI 実務 Brand Indicators for Message Identification DMARCなどの認証を満たしたメールにブランドロゴを表示し、正当な送信者であることを示しやすくする仕組み。 意味と関連用語を見る CAA Record 実務 Certification Authority Authorization Record どの認証局が自社ドメインのTLS証明書を発行できるかをDNSで指定するレコード。 意味と関連用語を見る Certificate Credential 実務 Certificate Credential アプリやサービスの認証に使う証明書ベースの資格情報。クライアントシークレットの代替として使われることがある。 意味と関連用語を見る Certificate Pinning 実務 Certificate Pinning アプリやクライアントが特定の証明書や公開鍵だけを信頼するよう固定する手法。 意味と関連用語を見る Certificate Transparency 実務 Certificate Transparency TLS証明書の発行履歴を公開ログに記録し、不正または誤発行された証明書を検知しやすくする仕組み。 意味と関連用語を見る cgroups v2 発展 Control Groups v2 (cgroups v2) Linux上のプロセス群へCPU、メモリ、I/O、プロセス数などの資源制限と計測を階層的に適用する統合インターフェース。コンテナの資源分離にも使われる。 意味と関連用語を見る CHIPS 発展 Cookies Having Independent Partitioned State (CHIPS) 埋め込み先のトップレベルサイトごとにサードパーティCookieを分割保存し、異なるサイト間で同じCookie状態が共有されることを抑えるブラウザ機能。 意味と関連用語を見る Claims Mapping 実務 Claims Mapping IdPが発行する属性情報やクレームを、アプリ側のユーザー属性、ロール、グループ、権限へ対応付ける設定。 意味と関連用語を見る Client Credentials Flow 実務 Client Credentials Flow 利用者ではなくアプリケーション自身の権限でAPIへアクセスするOAuthフロー。バッチ処理やサーバー間連携で使われる。 意味と関連用語を見る Client Secret 実務 Client Secret OAuthクライアントなどが自身を認証するために使う秘密値。漏えい時はアプリになりすまされる可能性がある。 意味と関連用語を見る Consent Grant 実務 Consent Grant ユーザーまたは管理者がアプリにデータアクセス権を許可した記録。OAuth同意フィッシング調査で重要な確認対象になる。 意味と関連用語を見る Container Runtime Interface 発展 Container Runtime Interface (CRI) kubeletがcontainerdやCRI-OなどのContainer RuntimeへPodとコンテナの作成、停止、状態取得を依頼するためのKubernetes標準インターフェース。 意味と関連用語を見る Cookieプレフィックス 発展 Cookie Name Prefix Cookie名を__Secure-または__Host-で始め、Secure属性やPath、Domainなどの条件をブラウザに強制させて、Cookieの上書きや設定ミスを減らす仕組み。 意味と関連用語を見る CORS 実務 Cross-Origin Resource Sharing ブラウザが異なるオリジン間のリソース共有を安全に制御するための仕組み。 意味と関連用語を見る Cross-Origin-Embedder-Policy 発展 Cross-Origin-Embedder-Policy (COEP) 文書が読み込むクロスオリジン資源に、CORSまたはCORPによる明示的な許可を要求するなど、埋め込み資源の取得条件を制御するHTTP応答ヘッダー。 意味と関連用語を見る Cross-Origin-Opener-Policy 発展 Cross-Origin-Opener-Policy (COOP) ページと新しく開いた別オリジンのページを異なる閲覧コンテキストグループへ分離し、window.opener等を介した相互アクセスを制限するHTTP応答ヘッダー。 意味と関連用語を見る Cross-Origin-Resource-Policy 発展 Cross-Origin-Resource-Policy (CORP) 資源を配信するサーバーが、その応答を同一オリジン、同一サイト、またはクロスオリジンから読み込めるかを宣言するHTTP応答ヘッダー。 意味と関連用語を見る CSRF Token 実務 CSRF Token 正規画面から送られたリクエストかを確認するために、フォームやAPIリクエストへ付与する予測困難な値。 意味と関連用語を見る CTAP2 実務 Client to Authenticator Protocol 2 ブラウザやOSなどのクライアントと、セキュリティキーや端末内認証器が通信するためのFIDO2系プロトコル。 意味と関連用語を見る Custom Resource Definition 発展 Custom Resource Definition (CRD) Kubernetes APIへ独自のリソース型を追加する定義。標準のPodやServiceと同様に宣言・取得でき、Operatorなどの拡張機能が扱う設定や状態を表現する。 意味と関連用語を見る DANE 実務 DNS-Based Authentication of Named Entities DNSSECを使い、TLS証明書や公開鍵情報をDNSで検証できるようにする仕組み。 意味と関連用語を見る Device Authorization Flow 実務 Device Authorization Flow キーボード入力やブラウザ操作が難しい端末で、別デバイスを使って認可するOAuthフロー。テレビ、CLI、IoT管理端末などで使われる。 意味と関連用語を見る Device Code Flow 発展 Device Code Flow 入力しにくい端末で別端末のブラウザを使って認証するOAuth/OIDCの認証フロー。フィッシングに悪用されることがある。 意味と関連用語を見る Discoverable Credential 発展 Client-Side Discoverable Credential Relying Partyが認証時に資格情報IDを指定しなくても、認証器やクライアント側で発見して利用できるWebAuthnの公開鍵資格情報。 意味と関連用語を見る DKIM 実務 DomainKeys Identified Mail 送信側がメールヘッダーや本文に電子署名を付与し、受信側がDNS上の公開鍵で検証する仕組み。配送途中でメールが改ざんされていないか、どのドメインが署名したかを確認できる。 意味と関連用語を見る DKIM Selector 実務 DKIM Selector DKIM署名で利用する公開鍵レコードをDNS上で識別するための名前。複数の鍵を使い分ける際に使う。 意味と関連用語を見る DKIM整合 発展 DKIM Alignment DMARC評価で、利用者に表示されるFromドメインと、DKIM署名のd=ドメインが同一または許容された組織ドメイン関係にある状態。 意味と関連用語を見る DMARC 実務 DMARC メール送信ドメインの正当性を、SPF・DKIMの結果と表示上の送信元ドメインとの整合性に基づいて評価し、認証失敗メールをどう扱うか（none / quarantine / reject）を送信ドメイン側が宣言する仕組み。フィッシングやビジネスメール詐欺（BEC）対策の柱。 意味と関連用語を見る DMARC Aggregate Report 実務 DMARC Aggregate Report 受信側メールサーバーが送信ドメイン所有者へ送る、DMARC認証結果の集計レポート。XML形式で送られることが多い。 意味と関連用語を見る DMARC Alignment 実務 DMARC Alignment DMARCで、FromドメインとSPFまたはDKIMで認証されたドメインが一致または整合している状態。 意味と関連用語を見る DMARC Forensic Report 実務 DMARC Forensic Report DMARC認証に失敗したメールの詳細情報を通知するレポート。プライバシー上の理由で提供されない場合も多い。 意味と関連用語を見る DMARC Policy 実務 DMARC Policy DMARCで認証に失敗したメールを受信側がどう扱うかを示すポリシー。none、quarantine、rejectがある。 意味と関連用語を見る DNS 実務 Domain Name System ドメイン名をIPアドレスに変換するシステム。Aレコード・MXレコード・CNAMEレコード・TXTレコードなど多種のレコードがある。DNSキャッシュポイズニング攻撃やDNS増幅攻撃にも悪用される。 意味と関連用語を見る DNS over HTTPS 実務 DNS over HTTPS (DoH) DNSの問い合わせと応答をHTTPS上で送受信し、端末とDNSリゾルバー間の盗聴や改ざんを抑える暗号化DNS方式。略称はDoH。 意味と関連用語を見る DNS over QUIC 発展 DNS over Dedicated QUIC Connections (DoQ) DNSの問い合わせと応答を専用のQUIC接続で暗号化して運び、端末とリゾルバー間の機密性と完全性を保護する方式。略称はDoQ。 意味と関連用語を見る DNS over TLS 実務 DNS over TLS (DoT) DNSの問い合わせと応答を専用のTLS接続で保護し、端末とDNSリゾルバー間の盗聴や改ざんを抑える暗号化DNS方式。略称はDoT。 意味と関連用語を見る DNSSEC 実務 Domain Name System Security Extensions DNS応答に電子署名を付け、名前解決の改ざんやなりすましを検知できるようにする拡張仕様。 意味と関連用語を見る DPoP 実務 Demonstrating Proof-of-Possession アクセストークンを特定の鍵所有者に紐づけ、盗まれたトークンだけでは使いにくくするOAuthの仕組み。 意味と関連用語を見る DSSE 発展 Dead Simple Signing Envelope 任意形式のペイロードへ型情報を添えて署名し、内容の解釈違いや署名対象の取り違えを抑えるための、シンプルな署名エンベロープ仕様。 意味と関連用語を見る East-West Traffic 実務 East-West Traffic 同一データセンター、VPC、クラスタ、社内ネットワーク内など、内部同士で流れる横方向の通信。 意味と関連用語を見る Encrypted Client Hello 発展 Encrypted Client Hello (ECH) TLS接続開始時のClientHello内に残る接続先名などの情報を暗号化し、通信経路上から閲覧されにくくするTLS拡張。略称はECH。 意味と関連用語を見る Encryption in Transit 実務 Encryption in Transit 通信中のデータを暗号化すること。TLSやmTLSなどで盗聴・改ざんのリスクを下げる。 意味と関連用語を見る Envelope Encryption 実務 Envelope Encryption データ本体をデータ鍵で暗号化し、そのデータ鍵をマスター鍵で暗号化して保護する方式。大容量データと鍵管理を分離できる。 意味と関連用語を見る External ID 発展 External ID 第三者が顧客のIAMロールを引き受ける際に追加条件として提示する識別値。顧客ごとに異なる値を使い、Confused Deputy問題を抑える。 意味と関連用語を見る FedCM 発展 Federated Credential Management ブラウザが仲介してIDプロバイダーとWebサイト間の連携を制御し、フェデレーションログインをプライバシー保護の要件に合わせて実現するためのWeb API。 意味と関連用語を見る Fetch Metadata 発展 Fetch Metadata Request Headers ブラウザがリクエストの送信元サイト、モード、取得先種別、利用者操作の有無などの文脈をHTTPヘッダーでサーバーへ伝え、防御判断を助ける仕組み。 意味と関連用語を見る FIDO Metadata Service 発展 FIDO Metadata Service FIDO認証器の製造元、認証レベル、状態、セキュリティ情報を確認するためのメタデータ提供サービス。 意味と関連用語を見る FIDO2 実務 FIDO2 FIDOアライアンスとW3Cが共同策定したパスワードレス認証標準。WebAuthn（ブラウザAPI）とCTAP（デバイスプロトコル）の2層構造。フィッシング耐性・プライバシー保護が設計に組み込まれており、パスキーの技術基盤。 意味と関連用語を見る Fine-Grained Token 実務 Fine-Grained Token アクセス対象、権限、期限を細かく制限できるトークン。広範なPersonal Access Tokenより安全に運用しやすい。 意味と関連用語を見る Host Permission 実務 Host Permission ブラウザ拡張機能が特定サイトやURLパターンへアクセスするための権限。対象範囲が広いほど影響も大きい。 意味と関連用語を見る HSTS 実務 HTTP Strict Transport Security WebサーバーがブラウザにHTTPSのみで接続するよう強制するセキュリティヘッダー（Strict-Transport-Security）。設定期間中はHTTPアクセスが自動的にHTTPSにリダイレクトされる。SSL/TLSダウングレード攻撃や中間者攻撃を防ぐ。 意味と関連用語を見る HSTS Preload 発展 HSTS Preload ブラウザのプリロードリストにドメインを登録し、初回アクセスからHTTPSのみを強制するHSTSの運用方式。 意味と関連用語を見る HttpOnly Cookie 実務 HttpOnly Cookie CookieへHttpOnly属性を付け、ブラウザ内のJavaScriptから読み取れないようにすることで、セッション情報の窃取リスクを下げる設定。 意味と関連用語を見る Idempotency Key 実務 Idempotency Key 同じ操作が再送されても二重処理にならないよう、リクエストを一意に識別するキー。 意味と関連用語を見る Identity Provider Metadata 実務 Identity Provider Metadata SAMLやOIDCで、IdPのエンドポイント、証明書、識別子、署名情報などをSPやアプリへ伝えるメタデータ。 意味と関連用語を見る IdP 実務 Identity Provider ユーザー認証を担い、SAMLやOpenID Connectを通じてサービスへ認証結果を渡す基盤。 意味と関連用語を見る IEEE 802.1X 実務 IEEE 802.1X Port-Based Network Access Control 有線LANや無線LANへの接続時に、端末または利用者を認証してからネットワーク利用を許可するポートベースのアクセス制御規格。 意味と関連用語を見る Image Digest 実務 Image Digest コンテナイメージの内容をハッシュで一意に識別する値。タグよりも改ざんや差し替えに強い参照方法。 意味と関連用語を見る imagePullPolicy 実務 Kubernetes imagePullPolicy Kubernetesがコンテナ起動時にイメージをレジストリから取得する条件をAlways、IfNotPresent、Neverで指定する設定。タグ運用と再現性に影響する。 意味と関連用語を見る IPsec 実務 Internet Protocol Security IP層でパケットの認証、完全性、機密性を提供し、拠点間VPNや端末接続などに使われる一連のプロトコルと処理方式。 意味と関連用語を見る JARM 発展 JWT Secured Authorization Response Mode OAuth 2.0やOpenID Connectの認可レスポンスをJWTとして署名し、必要に応じて暗号化して、応答の送信元と完全性を検証できるようにする仕様。 意味と関連用語を見る JTI 実務 JWT ID JWTごとの一意な識別子を示すClaim。トークンの再利用検知、失効リスト、監査ログの突合に使われる。 意味と関連用語を見る Just-in-Time Provisioning 実務 Just-in-Time Provisioning ユーザーが初回ログインしたタイミングで、IdPの属性をもとにSaaS側アカウントを自動作成する方式。 意味と関連用語を見る JWK 実務 JSON Web Key 暗号鍵をJSON形式で表現する仕様。JWT署名検証に使う公開鍵や、JWKSに含まれる個々の鍵を表す。 意味と関連用語を見る JWKS 実務 JSON Web Key Set JWT署名検証などに使う公開鍵をJSON形式で公開するためのキーセット。OIDCやAPI認証で、鍵ローテーションを安全に扱う基盤になる。 意味と関連用語を見る JWT 実務 JSON Web Token JSONをBase64URLエンコードしデジタル署名した認証トークン。ヘッダー・ペイロード・署名の3部構成。署名アルゴリズムをnoneに変更する攻撃や、秘密鍵の弱さによる偽造に注意が必要。 意味と関連用語を見る JWT Claim 実務 JWT Claim JWTの中に含まれる、利用者、発行者、有効期限、権限などの主張情報。検証せずに信用すると認可ミスにつながる。 意味と関連用語を見る Kubernetes Namespace 実務 Kubernetes Namespace Kubernetesクラスタ内のリソースを論理的に分ける単位。環境、チーム、アプリ、権限、ポリシー分離に使われる。 意味と関連用語を見る Kubernetes Service Account 発展 Kubernetes Service Account Kubernetes内のPodやコントローラーがAPIサーバーへアクセスするために使う非人間用のID。 意味と関連用語を見る Machine Identity 実務 Machine Identity 人ではなく、サーバー、コンテナ、API、ワークロード、デバイスを識別するためのID。証明書、トークン、サービスアカウントなどで表現される。 意味と関連用語を見る MACsec 発展 Media Access Control Security 同一LANなど隣接するネットワーク機器間のイーサネットフレームに、機密性、完全性、送信元認証を与えるリンク層のセキュリティ規格。 意味と関連用語を見る MTA-STS 実務 Mail Transfer Agent Strict Transport Security メール配送時にTLS利用を強制し、配送経路の盗聴やダウングレードを抑えるためのドメイン設定。 意味と関連用語を見る mTLS 実務 Mutual TLS サーバーだけでなくクライアント側も証明書で認証し、通信相手を相互に確認するTLSの利用方式。 意味と関連用語を見る mTLS証明書バインドアクセストークン 発展 Mutual-TLS Certificate-Bound Access Token OAuthアクセストークンをクライアントのmTLS証明書へ結び付け、同じ証明書の秘密鍵を示せるクライアントだけがトークンを利用できるようにする方式。 意味と関連用語を見る MX Record 実務 Mail Exchange Record ドメイン宛てメールを受け取るメールサーバーを指定するDNSレコード。 意味と関連用語を見る Network Namespace 発展 Linux Network Namespace Linuxでネットワークデバイス、IPアドレス、ルーティング表、ポート、ファイアウォール規則などのネットワーク資源をプロセス群ごとに分離する名前空間。 意味と関連用語を見る North-South Traffic 実務 North-South Traffic 社内・クラウド環境とインターネットなど外部との間で流れる縦方向の通信。 意味と関連用語を見る NTP 実務 Network Time Protocol ネットワーク上の端末やサーバーの時刻を同期するためのプロトコル。ログ調査や証跡管理の前提になる。 意味と関連用語を見る OAuth 実務 OAuth 利用者のパスワードを共有せず、アプリに限定された権限を委任するための認可フレームワーク。ログインそのものよりも「何を許可するか」を扱う。 意味と関連用語を見る OAuth 2.0 実務 OAuth 2.0 サードパーティアプリがユーザーのリソースに限定的にアクセスするための認可フレームワーク。「Googleアカウントでログイン」などの実装に使われる。認可を担い、認証はOpenID Connectが担当する。 意味と関連用語を見る OAuth Client 実務 OAuth Client OAuthでアクセストークンを要求するアプリケーション。利用者の代理としてAPIへアクセスするため、種類に応じた登録情報と権限管理が必要になる。 意味と関連用語を見る OAuth Consent 実務 OAuth Consent 利用者または管理者が、外部アプリに特定のアクセス権限を許可する同意行為。過剰な権限付与はデータ漏えいやアカウント侵害の入口になる。 意味と関連用語を見る OAuth Scope 実務 OAuth Scope OAuthでアプリに許可する操作範囲を表す文字列。読み取り、書き込み、管理権限などを分けて権限を制御する。 意味と関連用語を見る OAuthトークン交換 発展 OAuth 2.0 Token Exchange 既存のセキュリティトークンを提示し、対象サービスや権限範囲が異なる別のトークンを認可サーバーから取得するためのOAuth 2.0拡張仕様。 意味と関連用語を見る OCIアーティファクト 発展 OCI Artifact OCI Image SpecificationやDistribution Specificationを利用し、コンテナイメージ以外のSBOM、署名、チャートなどもレジストリで保存・配布・関連付けできる成果物。 意味と関連用語を見る OCSP 発展 Online Certificate Status Protocol デジタル証明書が失効していないかを、認証局側の応答サービスへ問い合わせて確認するためのプロトコル。証明書の現在の状態確認に使う。 意味と関連用語を見る OCSP Stapling 実務 OCSP Stapling TLSサーバーが証明書失効状態の確認結果をあらかじめ添付し、ブラウザ側の失効確認を高速化・安定化する仕組み。 意味と関連用語を見る OIDC Discovery 発展 OpenID Connect Discovery OIDCプロバイダーのIssuer、認可エンドポイント、トークンエンドポイント、JWKS URIなどを標準形式で取得する仕組み。 意味と関連用語を見る OpenID Connect 実務 OpenID Connect (OIDC) OAuth 2.0の上に認証レイヤーを追加したプロトコル。IDトークン（JWT）でユーザー情報を伝達する。「Googleアカウントでログイン」など多くのフェデレーション認証の実装基盤。OAuth 2.0が認可、OIDCが認証を担う。 意味と関連用語を見る OpenPGP 発展 OpenPGP 公開鍵暗号、デジタル署名、鍵管理、メッセージ形式を定め、メールやファイルの機密性・完全性・真正性を保護するためのオープン標準。 意味と関連用語を見る PACファイル 発展 Proxy Auto-Configuration File (PAC File) アクセス先URLやホスト名などの条件に応じて、ブラウザや端末が利用するプロキシ、直接接続、代替経路を自動選択するJavaScript形式の設定ファイル。 意味と関連用語を見る PAR 発展 Pushed Authorization Requests OAuth 2.0の認可要求パラメータをブラウザ経由で直接渡さず、クライアントから認可サーバーへ事前送信し、短い参照値で認可フローを進める仕様。 意味と関連用語を見る Permissions Policy 発展 Permissions Policy カメラ、マイク、位置情報、全画面表示などのブラウザ機能を、文書や埋め込みフレームのオリジンごとに許可・制限するWebポリシー。 意味と関連用語を見る Personal Access Token 実務 Personal Access Token ユーザーに紐づいてAPIや開発者ツールへアクセスするためのトークン。GitHubなどで使われ、権限範囲と有効期限の管理が重要。 意味と関連用語を見る PKCE 実務 Proof Key for Code Exchange OAuthの認可コードフローで、認可コードの横取りリスクを下げるために使う追加検証の仕組み。公開クライアントでも安全性を高める。 意味と関連用語を見る PKI 実務 Public Key Infrastructure 公開鍵暗号基盤。デジタル証明書の発行・管理・失効を行う仕組み。認証局（CA）がWebサーバーの証明書に署名することで、ユーザーが正規サイトと通信していることを保証する。 意味と関連用語を見る Pushed Authorization Request 実務 Pushed Authorization Request OAuth/OIDCの認可リクエスト内容を、ブラウザ経由ではなく事前に認可サーバーへ直接登録する仕組み。改ざんやパラメータ露出を減らす。 意味と関連用語を見る Referrer Policy 発展 Referrer Policy Webページから別リソースや別サイトへ移動・取得する際、Referer HTTPヘッダーへ送る元URL情報の範囲を制御するブラウザポリシー。 意味と関連用語を見る Refresh Token 実務 Refresh Token 新しいアクセストークンを取得するための長めの有効期限を持つトークン。漏えいすると継続的なアクセスにつながる。 意味と関連用語を見る ROA 発展 Route Origin Authorization 特定のIPプレフィックスを、どのASがBGPで経路起点として広告してよいかをRPKI上で示す署名付きオブジェクト。経路起点検証に利用される。 意味と関連用語を見る Role Chaining 発展 IAM Role Chaining 一つの一時的なロールセッションから別のロールを引き受け、複数の信頼関係を経由して権限を移動するアクセス方式。セッション時間などに制約がある。 意味と関連用語を見る RPKI 発展 Resource Public Key Infrastructure IPアドレスやAS番号といったインターネット番号資源の割り当てを証明し、BGP経路広告の正当性を検証するための公開鍵基盤。 意味と関連用語を見る RSA 実務 RSA 素因数分解の困難性に基づく公開鍵暗号アルゴリズム。鍵交換・デジタル署名・少量データの暗号化に使用。2048ビット以上が推奨。量子コンピューターの脅威から将来的にポスト量子暗号への移行が検討される。 意味と関連用語を見る S/MIME 発展 Secure/Multipurpose Internet Mail Extensions (S/MIME) X.509証明書とCMSを用いて、メール本文や添付へデジタル署名や暗号化を適用し、送信者確認、完全性、機密性を提供する標準。 意味と関連用語を見る SameSite Cookie 実務 SameSite Cookie Cookieがクロスサイトリクエストで送信される条件を制御する属性。CSRFリスクの低減に役立つ。 意味と関連用語を見る SAML 実務 Security Assertion Markup Language エンタープライズSSO（シングルサインオン）で広く使われるXMLベースの認証・認可標準。IdP（Identity Provider）がアサーションを発行し、SP（Service Provider）が検証する。 意味と関連用語を見る SAML Metadata 実務 SAML Metadata SAML連携に必要なエンティティID、証明書、ACS URL、SSO URLなどをまとめた設定情報。IdPとSPの信頼関係を構成する。 意味と関連用語を見る SAML Signing Certificate 実務 SAML Signing Certificate SAMLレスポンスやアサーションの署名検証に使う証明書。IdPとSPの信頼関係を支える。 意味と関連用語を見る SARIF 実務 Static Analysis Results Interchange Format 静的解析やセキュリティスキャンの結果をツール間で交換するためのJSONベースの標準形式。 意味と関連用語を見る SCIM 実務 System for Cross-domain Identity Management IdPとSaaS間でユーザー作成、更新、無効化、グループ同期を自動化するための標準プロトコル。 意味と関連用語を見る SCIM Drift 実務 SCIM Drift IdPとSaaS間のSCIMプロビジョニング状態がずれ、ユーザー、グループ、権限、無効化状態が一致しないこと。 意味と関連用語を見る SCIM Provisioning 実務 SCIM Provisioning IdPからSaaSへユーザーやグループを自動作成・更新・無効化するプロビジョニング。入退社や異動時のアカウント漏れを減らす。 意味と関連用語を見る Secure Cookie 実務 Secure Cookie Secure、HttpOnly、SameSiteなどの属性を適切に設定し、セッションCookieの盗難や誤送信を抑える実装。 意味と関連用語を見る Security Event Token 発展 Security Event Token (SET) アカウント無効化やリスク変化などのセキュリティイベントを、発行者、対象、時刻、イベント種別とともにJWT形式で安全に伝えるためのトークン。 意味と関連用語を見る Service Mesh 発展 Service Mesh マイクロサービス間通信に、認証、暗号化、可観測性、ルーティング制御を追加するインフラ層。 意味と関連用語を見る Service Principal 実務 Service Principal アプリケーションや自動処理がクラウド・SaaS APIへアクセスするために使う非人間ID。 意味と関連用語を見る Session Token 実務 Session Token ログイン後のセッションを識別し、継続的な認証状態を表すトークン。CookieやBearer Tokenとして扱われる。 意味と関連用語を見る Shared Access Signature 実務 Shared Access Signature (SAS) Azure Storageなどのリソースへ、対象、操作、開始・失効時刻、接続元などを限定した委任アクセスをURLやトークンとして付与する仕組み。 意味と関連用語を見る Sigmaルール 実務 Sigma Rule ログソース、検知条件、メタデータ、既知の誤検知などをYAMLで表現し、特定SIEMだけに依存しにくい形で共有する検知ルール。 意味と関連用語を見る Signed URL 実務 Signed URL 期限や条件付き署名を含むURL。認証なしでも一時的にファイルやリソースへアクセスできるようにする。 意味と関連用語を見る Signing Secret 実務 Signing Secret Webhookやトークン、メッセージの署名検証に使う秘密値。送信元の正当性と改ざん有無を確認するために使われる。 意味と関連用語を見る SMTP TLS 実務 SMTP TLS SMTP通信をTLSで暗号化する仕組み。MTA-STSやTLS-RPTと組み合わせることでメール配送経路の保護状況を高められる。 意味と関連用語を見る Snortルール 発展 Snort Rule Snortがネットワークパケットやプロトコルを検査し、条件に一致した通信へアラートなどの処理を行うための検知ルール。 意味と関連用語を見る SPF 実務 Sender Policy Framework メール送信ドメインの所有者が「このドメインのメールを送ってよい送信元サーバー」をDNSのTXTレコードで宣言する仕組み。受信側は送信元IPとエンベロープ送信元を照合して正当性を判定する。なりすまし対策の基本だが、転送に弱い。 意味と関連用語を見る SPF Alignment 実務 SPF Alignment DMARC判定で、SPFの認証ドメインとFromヘッダーのドメインが整合している状態。 意味と関連用語を見る SPF Flattening 実務 SPF Flattening SPFレコード内のincludeをIPアドレスへ展開し、DNS参照回数制限に収める運用。メール認証の失敗を避けるために使われる。 意味と関連用語を見る SSO 実務 Single Sign-On 一度の認証で複数のサービスにアクセスできる仕組み。利用者の利便性と認証統制を両立しやすい。 意味と関連用語を見る STARTTLS 発展 STARTTLS 平文で開始したSMTP接続などを、通信途中のコマンドによってTLS保護された接続へ切り替えるためのプロトコル拡張。 意味と関連用語を見る STIX 実務 Structured Threat Information eXpression 脅威インテリジェンスを構造化して表現するための標準形式。攻撃者、マルウェア、IOC、TTPなどを記述する。 意味と関連用語を見る Subresource Integrity 実務 Subresource Integrity (SRI) 外部から読み込むスクリプトやスタイルについて、期待する暗号学的ハッシュをHTMLへ指定し、取得した内容が一致するときだけブラウザに実行・適用させる仕組み。 意味と関連用語を見る Suricataルール 発展 Suricata Rule Suricataがネットワーク通信やプロトコルの特徴を評価し、アラート、記録などの処理を行う条件を記述した検知ルール。 意味と関連用語を見る TaintとToleration 実務 Taints and Tolerations Kubernetesでノード側にTaintを付け、対応するTolerationを持つPodだけを配置候補にするスケジューリング制御。専用ノードや隔離運用に使う。 意味と関連用語を見る TAXII 実務 Trusted Automated eXchange of Intelligence Information STIX形式の脅威インテリジェンスを組織間で交換するための通信プロトコル。 意味と関連用語を見る TLS 実務 Transport Layer Security インターネット通信を暗号化するプロトコル。HTTPSはTLSを使用するHTTP。SSL/TLS 1.2以前は非推奨でTLS 1.3が現在の標準。証明書（X.509）によるサーバー認証も提供する。 意味と関連用語を見る TLS-RPT 実務 SMTP TLS Reporting メール配送時のTLS失敗やMTA-STS違反をレポートとして受け取り、配送保護の問題を把握する仕組み。 意味と関連用語を見る Token Binding 発展 Token Binding トークンを特定の端末、鍵、セッション、通信経路に結び付け、盗まれたトークンの再利用を難しくする考え方。 意味と関連用語を見る Token Introspection 実務 Token Introspection OAuthのアクセストークンが有効か、どの権限や利用者に紐づくかを認可サーバーへ問い合わせる仕組み。 意味と関連用語を見る Token Revocation 実務 Token Revocation OAuthのアクセストークンやリフレッシュトークンを無効化し、以後の利用を止める仕組み。漏えい時や退職・端末紛失時に重要になる。 意味と関連用語を見る Token Scope 実務 Token Scope トークンに許可された操作範囲。読み取り、書き込み、管理、特定リソースなどの権限粒度を表す。 意味と関連用語を見る TOTP 実務 Time-based One-Time Password 時刻とシークレットキーを元に30秒ごとに6桁のワンタイムパスワードを生成するアルゴリズム（RFC 6238）。Google AuthenticatorやAuthyなど認証アプリの基盤技術。SMS認証より安全だが、フィッシングによる中間者攻撃には注意が必要。 意味と関連用語を見る Trusted Types 発展 Trusted Types DOM XSSにつながりやすいブラウザAPIへ未検証の文字列を直接渡すことを制限し、定義したポリシーで生成した型付きの値だけを許可するWebプラットフォームの仕組み。 意味と関連用語を見る User Verification 発展 WebAuthn User Verification (UV) WebAuthn認証器がPINや生体認証などを用いて、操作している人が認証器の正当な利用者であることをローカルで確認する処理。 意味と関連用語を見る VPN 実務 Virtual Private Network インターネット上に仮想的な専用線を構築し、暗号化された通信を実現する技術。リモートワーク時に社内ネットワークへ安全に接続するために使われる。WireGuard・OpenVPN・IPsecなど。 意味と関連用語を見る WebAuthn 実務 Web Authentication ブラウザと認証器が公開鍵暗号を使ってログインするためのW3C標準。パスキーやFIDO2認証の土台になる。 意味と関連用語を見る Webhook 実務 Webhook あるサービスのイベントを、HTTPリクエストとして別サービスへ通知する仕組み。 意味と関連用語を見る Webhook Secret 実務 Webhook Secret Webhook通知が正当な送信元から来たことを検証するための共有秘密や署名検証用の秘密情報。 意味と関連用語を見る Workload Identity Federation 実務 Workload Identity Federation CI/CDやクラウド上のワークロードが、長期秘密鍵を持たずに外部IdPのトークンでクラウド権限を取得する仕組み。 意味と関連用語を見る Zeekスクリプト 発展 Zeek Script Zeekが解析したネットワークイベントを受け取り、ログ追加、状態追跡、通知などの処理をイベント駆動で記述するスクリプト。 意味と関連用語を見る RAR 発展 OAuth 2.0 Rich Authorization Requests OAuthの認可要求を単純なscope文字列だけでなく、対象・操作・条件を構造化したauthorization_detailsとして表す標準。 意味と関連用語を見る RP-Initiated Logout 発展 OpenID Connect RP-Initiated Logout OpenID Connectの利用サービスであるRP側から、認証基盤であるOPへログアウトを要求する仕組み。サービス自身のセッション終了とOPのセッション終了を区別して扱う。 意味と関連用語を見る アプリケーション整合性 実務 Application Consistency アプリケーションと調整し、データや処理の状態が整合するように取得されたバックアップの性質。単にディスク上の状態を取ることとは異なり、対象アプリの対応が必要になる。 意味と関連用語を見る Argon2id 実務 Argon2id パスワードから検証用の値を作る、メモリ使用量と計算時間を調整できる方式。Argon2の二つの方式の特性を組み合わせ、オフラインの推測にかかる負担を高める。 意味と関連用語を見る 暗号nonce 実務 Cryptographic Nonce 暗号処理で一度だけ使うことなどを要求される値。鍵やメッセージと組み合わせて利用し、必要な一意性や予測困難性は採用する方式ごとに異なる。 意味と関連用語を見る expクレーム 実務 Expiration Time Claim (exp) JWTの有効期限を表すクレーム。この時刻以降は原則として受け入れず、必要な時刻ずれの許容は限定的に扱う。期限内であることは、未失効や権限の妥当性とは別の条件。 意味と関連用語を見る EKU 実務 Extended Key Usage 証明書に含まれる公開鍵を、サーバー認証やクライアント認証など、どの目的で使えるか示す拡張。署名や暗号化といった鍵操作を表すKey Usageとは区別する。 意味と関連用語を見る issクレーム 実務 Issuer Claim (iss) JWTなどでトークンの発行者を表すクレーム。受信側が信頼する発行元からのトークンかを確認するために使い、値が書かれているだけでは発行者の真正性は保証されない。 意味と関連用語を見る Event Query Language 発展 Event Query Language (EQL) イベントの属性だけでなく、時系列の順序や関連する一連のイベントを表現し、検索・検知するために設計されたクエリ言語。 意味と関連用語を見る Event Tracing for Windows 発展 Event Tracing for Windows (ETW) Windowsのカーネルやアプリケーションが生成する高頻度のイベントを、プロバイダー、セッション、コンシューマーの仕組みで効率的に記録・処理する基盤。 意味と関連用語を見る Windows Event Forwarding 実務 Windows Event Forwarding (WEF) Windows端末やサーバーのイベントを、サブスクリプションに基づいて指定した収集先へ転送し、集中監視やインシデント調査に利用する標準機能。 意味と関連用語を見る Windows Event Log 入門 Windows Event Log Windowsのシステム、アプリケーション、セキュリティなどのイベントを共通の仕組みで記録・照会・購読するためのログ基盤。 意味と関連用語を見る HKDF 発展 HMAC-based Extract-and-Expand Key Derivation Function HMACを使い、入力鍵素材から抽出と展開の段階を経て鍵を導出する方式。共有秘密から用途別の鍵を作るために使われ、パスワードの推測を遅くする方式とは目的が異なる。 意味と関連用語を見る HTTP ETag 入門 HTTP Entity Tag (ETag) HTTPでリソースの表現を識別する検証子。条件付き要求で保存済み応答がまだ有効かを確認する等に使い、暗号署名や内容の安全性の保証を意味するものではない。 意味と関連用語を見る HTTPS 実務 HTTPS HTTP 通信を TLS で暗号化したプロトコル。通信の盗聴・改ざんを防ぎ、サーバー証明書によって接続先の正当性を確認できる。標準ポートは 443 で、現在の Web では全ページでの利用が事実上の標準。 意味と関連用語を見る HTTPキャッシュキー 実務 HTTP Cache Key HTTPキャッシュが保存済み応答を識別し、どの要求に再利用するかを決める識別情報。URLや応答を変える入力の扱いが不十分だと、異なる要求へ同じ応答を返す原因になる。 意味と関連用語を見る HTTP Vary 実務 HTTP Vary Header HTTP応答を選ぶ際に影響したリクエストヘッダー名を示すレスポンスヘッダー。言語や圧縮形式等の違いに応じてキャッシュの再利用を分けるが、利用者の認可を行う機能ではない。 意味と関連用語を見る HMAC 実務 Hash-based Message Authentication Code 共有する秘密鍵とハッシュ関数からメッセージ認証コードを計算する方式。受信側が同じ鍵で検証し、メッセージの完全性と共有鍵を知る者による生成を確認する。 意味と関連用語を見る AEAD 実務 Authenticated Encryption with Associated Data 暗号文の機密性と完全性を一体で保護し、暗号化しない付随データも認証できる暗号方式の枠組み。付随データは読めるままだが、改ざんの検出対象になる。 意味と関連用語を見る AES-GCM 発展 AES Galois/Counter Mode AESを使って暗号化と認証を行うGCMモード。高速な処理に適した認証付き暗号だが、同じ鍵でIVを重複させないなど、方式固有の運用条件を守る必要がある。 意味と関連用語を見る amrクレーム 発展 Authentication Methods References 認証時に使われた方法の参照を表すクレーム。パスワードなどの方法を値の配列で示すが、その情報だけで業務上必要な保証水準を満たしたと判断できるとは限らない。 意味と関連用語を見る acrクレーム 発展 Authentication Context Class Reference OpenID Connectで、行われた認証がどの認証コンテキストのクラスを満たすかを示すクレーム。値の意味は採用するプロファイルや当事者間の合意に沿って解釈する。 意味と関連用語を見る scrypt 発展 scrypt パスワードとソルトから鍵を導出する、メモリ負荷を伴う方式。計算量だけでなく大量のメモリを要する設計により、専用ハードウェアによる推測の効率を下げることを狙う。 意味と関連用語を見る S3削除マーカー 実務 Amazon S3 Delete Marker バージョニングされたS3バケットで、オブジェクトを通常の取得から見えなくする削除状態の印。過去版のデータそのものを完全に消した状態とは区別する必要がある。 意味と関連用語を見る S3署名付きURL 実務 Amazon S3 Presigned URL Amazon S3の特定の操作を、署名した主体の権限と有効期間の範囲で利用できるURL。バケット全体を公開せずに受け渡しできるが、URLを知った人が利用できる点に注意する。 意味と関連用語を見る S3 Bucket Key 発展 Amazon S3 Bucket Key SSE-KMSでバケットレベルの鍵を使い、AWS KMSへのリクエスト数を減らすAmazon S3の仕組み。暗号化をなくす機能ではなく、鍵利用のコストや呼び出し方を変える。 意味と関連用語を見る nbfクレーム 実務 Not Before Claim (nbf) JWTを受け入れてよい開始時刻を表すクレーム。指定された時刻より前には原則として利用できず、期限を示すexpや発行時刻を示すiatとは意味が異なる。 意味と関連用語を見る OIDC nonce 実務 OpenID Connect Nonce OpenID Connectで認証要求とIDトークンを結び付ける値。クライアントが要求に含めた値を保持し、応答のクレームと照合することで、別の認証結果の再利用への対策を支える。 意味と関連用語を見る OIDCバックチャネルログアウト 発展 OpenID Connect Back-Channel Logout OpenID Providerから利用サービスへ、ブラウザーを経由せずログアウトを通知する仕組み。受信したLogout Tokenを検証し、対象のセッションを終了させる。 意味と関連用語を見る OAuth state 実務 OAuth State Parameter OAuthの認可要求と応答をクライアント側の状態に結び付けるパラメーター。CSRF対策に使う場合は、推測困難な値を利用者のセッションに関連付け、応答時に照合する。 意味と関連用語を見る Authentication Context 発展 Authentication Context 認証方式、強度、実行時刻、端末状態など、どのような条件で本人確認が行われたかを表す情報。 意味と関連用語を見る OpenID Federation 発展 OpenID Federation 1.0 複数の組織やOpenID Connect参加者が、信頼連鎖と署名付きメタデータを用いて相互の構成情報を検証するための標準。 意味と関連用語を見る 鍵ラッピング 発展 Key Wrapping 暗号鍵を別の保護用の鍵で包み、鍵素材の機密性と完全性を保護する処理。保管や受け渡しのために用い、平文の鍵を直接保存・転送する範囲を減らす。 意味と関連用語を見る Key Usage 実務 X.509 Key Usage 電子証明書の公開鍵を、デジタル署名、鍵暗号化、証明書署名など、どの鍵操作に利用できるか制限する拡張。アプリケーション上の目的を示すEKUとは役割が異なる。 意味と関連用語を見る GitHub Appインストールトークン 発展 GitHub App Installation Access Token GitHub Appの特定インストールとしてAPIを利用するための短期アクセストークン。対象リポジトリと権限をインストールの範囲内に制限でき、個人の操作として使うトークンとは異なる。 意味と関連用語を見る GitHubデプロイキー 実務 GitHub Deploy Key GitHubの単一リポジトリへSSHでアクセスするために登録する公開鍵。通常は読み取り専用だが書き込みを許す構成もあり、名前に反して本番デプロイ全体の権限を定めるものではない。 意味と関連用語を見る Cache-Control s-maxage 実務 Cache-Control s-maxage CDN等の共有HTTPキャッシュに対する応答の最大経過秒数を定める指令。共有側ではmax-age等より優先され、利用者のブラウザ用の鮮度と別の期間を設定できる。 意味と関連用語を見る Cache-Control no-cache 実務 Cache-Control no-cache HTTP応答をキャッシュへ保存することは許し、再利用前に配信元での成功した検証を要求する指令。名前に反して保存禁止を意味せず、機密データの保存制御と区別して使う。 意味と関連用語を見る Cache-Control no-store 実務 Cache-Control no-store HTTPキャッシュに要求・応答を保存させないための指令。機密情報を含む応答の保存を制限する際に使い、保存は許すが再利用前の検証を要求するno-cacheとは異なる。 意味と関連用語を見る Cache-Control private 実務 Cache-Control private HTTP応答を共有キャッシュに保存させず、利用者側の私的キャッシュでは保存を許す指令。CDN等による共有とブラウザ内の保存を分けるもので、すべての保存禁止ではない。 意味と関連用語を見る Cache-Control max-age 入門 Cache-Control max-age HTTP応答が新鮮とみなされる最大の経過秒数を示す指令。ブラウザ等が再利用できる期間に関係し、ログインセッションや認証トークンの有効期限を設定するものではない。 意味と関連用語を見る クラッシュ整合性 実務 Crash Consistency 突然電源が失われた時点に相当する、ディスク上の状態としての整合性。バックアップに未保存のメモリ内容は含まれず、復元後にアプリが回復処理を行うことがある。 意味と関連用語を見る GraphQLイントロスペクション 実務 GraphQL Introspection GraphQLで、型やフィールドなどスキーマの情報を問い合わせる仕組み。開発支援やツール連携に使うが、公開範囲は利用者とAPIの用途に応じて判断し、認可とは分けて設計する。 意味と関連用語を見る GraphQLフィールドエイリアス 実務 GraphQL Field Alias GraphQLの応答でフィールドに別名を付ける仕組み。同じフィールドを異なる引数で取得する等の用途があり、API運用では別名で増えた処理件数も負荷制御へ反映する。 意味と関連用語を見る GraphQL保存済みドキュメント 発展 GraphQL Persisted Document GraphQLの操作文を保存し、識別子等で参照できるようにする方式。送信量削減等に使うが、保存しただけで操作が安全と審査済みになったり、未登録操作が禁止されたりするとは限らない。 意味と関連用語を見る Clear-Site-Data 発展 Clear-Site-Data Header ブラウザへ、サイトに関連するキャッシュ、Cookie、ストレージ等の指定したデータを消去するよう伝えるHTTPヘッダー。サーバー側セッションの失効や漏えい済みデータの回収とは異なる。 意味と関連用語を見る CAEP 発展 Continuous Access Evaluation Profile 端末状態やセッション、資格情報などの変化を共有し、サービスがアクセス継続可否を速やかに再評価できるOpenID Shared Signalsのプロファイル。 意味と関連用語を見る KMS暗号化コンテキスト 発展 AWS KMS Encryption Context AWS KMSの暗号操作に付加する、秘密ではないキーと値の組。暗号文と利用文脈を結び付けたり、鍵利用の許可条件に用いたりできるが、機密データの保管場所ではない。 意味と関連用語を見る KDF 実務 Key Derivation Function 入力となる秘密情報から、必要な長さや用途の暗号鍵を導出する関数の総称。パスワード向けと、十分なエントロピーを持つ共有秘密向けでは、選ぶ方式や要求が異なる。 意味と関連用語を見る 検証可能な資格情報 発展 Verifiable Credentials 発行者が主張する属性や資格をデジタル署名などで表現し、受け取った検証者が発行元と改ざんの有無を機械的に確認できるデジタル資格情報。 意味と関連用語を見る Confidential Client 実務 OAuth Confidential Client OAuthで、クライアント資格情報を秘密に保持する能力を持つクライアント。管理されたサーバー側で認証処理を行う構成などが該当し、資格情報の安全な管理が前提となる。 意味と関連用語を見る SAN 実務 Subject Alternative Name 電子証明書で、対象に結び付くDNS名、IPアドレスなどを表す拡張。TLSでは接続先のサービス識別子が証明書で認められた名前に一致するか確認する際に重要となる。 意味と関連用語を見る CRL 実務 Certificate Revocation List 発行済みの電子証明書のうち、有効期間中でも失効したものを示す署名付きの一覧。証明書の期限だけでは分からない失効状態を確認するために使う。 意味と関連用語を見る CSR 実務 Certificate Signing Request 証明書の発行を依頼するため、公開鍵や申請情報などを含めて作成する署名要求。CSR自体は発行済み証明書ではなく、秘密鍵を認証局へ渡すためのファイルでもない。 意味と関連用語を見る CSPRNG 実務 Cryptographically Secure Pseudorandom Number Generator 暗号用途で使えるよう、出力の予測困難性などを考慮して設計された疑似乱数生成器。鍵、セッショントークン、ソルトなどの生成では、用途に適した安全な乱数APIを使う。 意味と関連用語を見る JWE 発展 JSON Web Encryption データを暗号化して機密性と完全性を保護する形式。JWTの内容を秘匿する用途にも使われ、署名やMACを扱うJWSとは役割が異なる。 意味と関連用語を見る JWA 発展 JSON Web Algorithms JWSやJWEなどで使う暗号アルゴリズムの識別子と処理要件を定める仕様。形式の仕様とは役割が異なり、登録された方式をすべて採用すべきという意味ではない。 意味と関連用語を見る JWS 実務 JSON Web Signature デジタル署名またはMACによってデータの完全性を保護する形式。JWTの保護にも使われるが、JWS自体は内容を秘密にする暗号化形式ではない。 意味と関連用語を見る JAR 発展 JWT-Secured Authorization Request OAuth 2.0の認可要求パラメータをJWTへ格納し、署名または暗号化によって完全性、送信元確認、機密性を与える標準。 意味と関連用語を見る SHA-256 実務 SHA-256 SHA-2 ファミリーに属する暗号学的ハッシュ関数で、入力から 256 ビット（32 バイト）の固定長ハッシュ値を生成する。改ざん検知・デジタル署名・証明書・ブロックチェーンなどで広く使われる。 意味と関連用語を見る 準同型暗号 発展 Homomorphic Encryption データを復号せず暗号化したまま所定の演算を行い、その計算結果を復号すると平文で計算した結果に対応するよう設計された暗号技術。 意味と関連用語を見る 証明書パス検証 発展 Certification Path Validation 対象証明書から信頼の起点までの証明書の連鎖について、署名、有効期間、制約などが受け入れ条件を満たすか確認する処理。証明書を並べるパス構築とは区別する。 意味と関連用語を見る 初期化ベクトル 実務 Initialization Vector (IV) 暗号モードの処理を開始する際に与える入力値。必要な長さ、一意性、予測困難性はモードによって異なり、鍵とは別に扱う。IVという名前だけで生成方法は決められない。 意味と関連用語を見る 信頼実行環境 発展 Trusted Execution Environment (TEE) プロセッサなどのハードウェア機能を用いて、コードとデータを通常のOSや他プロセスから隔離し、機密性と完全性を保ちながら実行する保護領域。 意味と関連用語を見る SCRAM 発展 Salted Challenge Response Authentication Mechanism (SCRAM) パスワードをそのまま送る代わりに、チャレンジと応答を使って認証する方式。PostgreSQLなどで採用され、ソルトや反復計算を含む検証情報を利用して認証する。 意味と関連用語を見る スナップショット 入門 Snapshot ストレージなどのある時点の状態を記録し、そこから復元できるようにする仕組み。データを毎回全量コピーするとは限らず、元の保存先から独立しているかは製品により異なる。 意味と関連用語を見る セキュアマルチパーティ計算 発展 Secure Multi-Party Computation (MPC) 複数の参加者が互いの秘密入力を直接開示せずに、共同の計算結果だけを得ることを目指すプライバシー強化暗号技術。 意味と関連用語を見る SECURITY INVOKER 実務 SECURITY INVOKER PostgreSQLの関数を呼び出した利用者の権限で実行する指定。関数の所有者が強い権限を持っていても、その権限を呼び出し元へ自動的に貸すものではない。 意味と関連用語を見る SECURITY DEFINER 発展 SECURITY DEFINER PostgreSQLの関数などを、呼び出した人ではなく所有者の権限で実行する指定。限定した処理を委譲できる一方、関数の権限と入力の扱いが新たな信頼境界になる。 意味と関連用語を見る Sender-Constrained Access Token 発展 Sender-Constrained Access Token アクセストークンを特定クライアントが保持する鍵や証明書へ結び付け、トークン単体の盗難による再利用を抑える方式。 意味と関連用語を見る WAL 実務 Write-Ahead Logging (WAL) データ本体の変更を確定させる前に、変更内容をログへ記録する考え方。データベースの障害復旧を支え、適切に保存されたログは継続的な復元にも利用できる。 意味と関連用語を見る ChaCha20-Poly1305 発展 ChaCha20-Poly1305 ChaCha20による暗号化とPoly1305による認証を組み合わせたAEAD方式。ソフトウェア実装での効率も考慮され、通信の機密性と完全性を保護するために使われる。 意味と関連用語を見る 中間認証局 実務 Intermediate Certificate Authority 上位の認証局から証明書を発行され、その権限と制約の範囲で下位の証明書を発行する認証局。ルート認証局と利用者・サーバー証明書の間に位置することがある。 意味と関連用語を見る DNS CAA 実務 DNS Certification Authority Authorization ドメイン所有者が、そのドメインの証明書発行を許可する認証局をDNSレコードで指定する仕組み。意図しない発行を抑制する。 意味と関連用語を見る DBSC 発展 Device Bound Session Credentials セッションを端末内の秘密鍵と結び付け、盗まれたCookieだけでは別端末から再利用しにくくするWeb認証の仕組み。 意味と関連用語を見る 同一オリジンポリシー 入門 Same-Origin Policy あるオリジンから読み込まれたスクリプトが、異なるオリジンの文書やデータへ自由にアクセスすることをブラウザが制限する、Webセキュリティの基本境界。 意味と関連用語を見る Public Client 実務 OAuth Public Client OAuthで、クライアント資格情報の秘密性を維持できない種類のクライアント。配布されるネイティブアプリやブラウザーで動くアプリなど、実行環境を利用者が確認できる場合がある。 意味と関連用語を見る bcrypt 実務 bcrypt 計算コストを調整できるパスワードハッシュ方式。既存システムで広く利用されるが、入力長の制約や実装差を確認し、新規採用では他の適切な方式も検討する。 意味と関連用語を見る PBKDF2 発展 Password-Based Key Derivation Function 2 パスワード、ソルト、反復回数などを入力にして鍵を導出する方式。疑似ランダム関数を繰り返し適用し、パスワード候補の照合に必要な計算量を増やす。 意味と関連用語を見る Punycode 実務 Punycode 国際化ドメイン名で使うUnicode文字列を、DNSで扱えるASCII文字列へ変換する符号化方式。変換後のラベルは一般に「xn--」で始まる。 意味と関連用語を見る private_key_jwt 発展 Private Key JWT Client Authentication クライアントが秘密鍵で署名したJWTを提示して自身を認証する方式。認可サーバー側は対応する公開鍵などで検証し、共有のクライアント秘密を送る方式と区別する。 意味と関連用語を見る プロキシ 実務 Proxy クライアントとサーバーの間に立って通信を中継するサーバー。フォワードプロキシは社内から外部への通信を中継・制御し、リバースプロキシは外部からサーバーへの通信を受けて負荷分散やキャッシュ、WAF 連携を担う。 意味と関連用語を見る 分散型識別子 発展 Decentralized Identifier (DID) 特定の中央レジストリだけに依存せず、識別対象と検証用の暗号鍵やサービス情報を結び付けるための、W3Cで標準化された識別子形式。 意味と関連用語を見る Pairwise Subject Identifier 発展 Pairwise Subject Identifier OpenID Connectで、同じ利用者でもセクターごとに異なるsubを返す識別方式。サービス間で同一人物の行動を容易に結び付けられないようにするプライバシー上の仕組み。 意味と関連用語を見る max_age 実務 OpenID Connect max_age OpenID Connectの認証要求で、最後の利用者認証から許容する経過秒数を指定するパラメーター。トークンの有効期限ではなく、認証の鮮度を求めるために使う。 意味と関連用語を見る RISC 発展 Risk Incident Sharing and Coordination アカウント侵害、資格情報変更、無効化などのリスクイベントをサービス間で共有し、被害抑制とアカウント回復を連携するOpenIDのプロファイル。 意味と関連用語を見る リモートアテステーション 発展 Remote Attestation 離れた検証者が、端末や実行環境の構成・起動状態・信頼できるハードウェアによる測定結果を証拠として受け取り、期待状態か確認する仕組み。 意味と関連用語を見る ルート認証局 実務 Root Certificate Authority 認証局の階層で最上位に位置し、証明書検証の信頼の起点として利用される認証局。一般に自己署名証明書を持つが、信頼されるかどうかは利用側の設定や方針に依存する。 意味と関連用語を見る ログ正規化 実務 Log Normalization 製品ごとに異なるイベント名、時刻、利用者、IPアドレスなどの表現を、共通の項目やスキーマへ対応付けて分析しやすくする処理。 意味と関連用語を見る