Webアプリにおいて認証メカニズムとアクセス制御の実装はどうあるべきか？

　アプリケーション開発者は、迅速な開発とセキュリティ確保の両立が常に求められる。セキュアコーディングは開発者にとって今や常識となっているが、認証処理のわずかな設計ミスが認証メカニズムのバイパスにつながり、重大なセキュリティリスクを生じさせる場合がある。

　例え堅牢な認証メカニズムを有したアプリケーションであっても、新たに開発された1つの機能が、開発済みの機能の認証ポリシーを十分に理解していなかったことにより、リスクを生み出す可能性もある。このような認証処理におけるリスクを防ぐためには、どのようにアプリケーションの全機能に対し適切な認証メカニズムとアクセス制御の動作を実装するかが重要となる。

　本資料では、これを実現する方法として、Web／モバイルアプリケーション開発におけるアクセス制御と認証モデルを解説している。この方法により、アプリケーション内において認証メカニズムを処理する必要がなくなるだけでなく、アプリケーションのリソースをセキュリティリスクから保護することもできる。また開発チームは機能の開発やセキュアコーディングに集中できるようにもなる。その方法を詳しく見ていこう。