🔐私のパスワードは安全か？OWASP 2位、暗号化の失敗を徹底解説

11月 5, 2026

—

こんにちは！👋 前回A01: 壊れたアクセス制御に続き、今日はOWASP Top 10 2021の2位に急浮上したA02: 暗号化の失敗(Cryptographic Failures)についてお話ししようと思います。

以前は「機密情報漏洩(Sensitive Data Exposure)」と呼ばれていたこの項目は、単にデータを暗号化しないだけでなく、「誤った」暗号化の危険性を強調し、2位まで上昇しました。大切な情報がインターネットの世界にそのまま露出してしまうかもしれない恐ろしい脆弱性、今から一緒に見ていきましょう！😱

🤔 暗号化の失敗？それは一体何ですか？

「秘密の日記は必ず鍵付きの箱にしまっておかないと！」📦

子供の頃、こんなことを一度は考えたことがありますよね？暗号化(Cryptography)はまさにこの「鍵」の役割を果たします。重要なデータを誰も読み取れない秘密のコード(暗号文)に変えて保護する技術です。

暗号化の失敗は、この鍵が不十分だったり、鍵をどこにでも置いてしまったり、さらには鍵を全く使わないすべてのケースを指します。データは大きく分けて2つの状態で存在し、この両方の状態で鍵は必須です。

転送中のデータ (Data in Transit) ✈️:

皆さんのコンピューターからサーバーへデータが飛んでいく途中 (ログイン、会員登録、記事作成など)
この時、暗号化がなければ、途中で誰かがデータを傍受して覗き見ることができます。(中間者攻撃)

保存されたデータ (Data at Rest) 💾:

サーバーのデータベースやファイルシステムにデータが保存されている状態
もしハッカーがサーバーを丸ごとハッキングした場合、暗号化されていないデータはそのまま盗まれてしまいます。

🚨 暗号化の失敗のよくある事例

どのような場合に暗号化が「失敗」したと言えるでしょうか？開発者がよく犯す間違いを通して見ていきましょう。

1. 平文通信 (HTTPの使用)

最も基本的ですが、依然として多く発見される間違いです。

問題点: HTTPはデータを暗号化されていない平文(Plain Text)で送信します。まるで透明な封筒に手紙を入れて送るようなもので、ネットワークを監視している誰もが内容を覗き見ることができます。👂
解決策: 必ずHTTPSを使用する必要があります。HTTPSはTLS/SSLというプロトコルを利用して、すべての通信内容を暗号化し、安全に保護します。アドレスバーに鍵🔒アイコンがあるか常に確認してください！

2. パスワードを平文で保存

絶対にしてはいけない最悪の間違いです！

問題点: データベースにpassword123のようにパスワードをそのまま保存する場合、DBが流出すればすべてのユーザーのアカウントが即座に奪取されます。
解決策: パスワードは必ずハッシュ(Hash)して保存する必要があります。ハッシュは暗号化とは異なり、元の値に戻すことができない一方向関数です。
アップグレード: より安全にはソルト(Salt)を追加したハッシュ化を使用する必要があります。ソルト(🧂)はパスワードに追加する任意の文字列で、同じパスワードを使用してもDBに保存されるハッシュ値が異なるようにすることで、レインボーテーブルのような攻撃を無力化します。
password123 + Salt(ランダム値) -> Hash_Value(全く異なる値)

3. 弱かったり古い暗号アルゴリズムの使用

すべての鍵が頑丈なわけではありません！古くて弱い鍵はすぐに壊れてしまいます。

問題点: MD5、SHA-1のような古いハッシュアルゴリズムやDES、RC4のような暗号化アルゴリズムは、すでに脆弱性が発見されており、簡単に破られる可能性があります。☠️
解決策: 検証された最新の標準アルゴリズムを使用する必要があります。
ハッシュ化: SHA-256以上、Bcrypt、Scrypt、Argon2
暗号化: AES (Advanced Encryption Standard)

4. 不十分な暗号鍵管理

金庫は頑丈なのに、鍵を金庫の上に置いておくようなものです。

問題点: 暗号化に使用された鍵(Key)をソースコードにそのまま書き込んだり(ハードコーディング)、設定ファイルに平文で保存する場合です。ソースコードが流出すれば暗号化は無意味になります。🔑
解決策: 暗号鍵は別途の安全な保存場所(Key Vault, KMSなど)に保管し、アクセス権限を厳格に管理する必要があります。また、定期的に鍵を交換(Key Rotation)することが安全です。

🛡️ どうすれば防げるでしょうか？ (防御方法)

データ分類および識別 📂: まず、私たちのサービスでどのようなデータが機密であるか(個人情報、金融情報など)を識別し、保護が必要なデータの優先順位を定めます。
転送区間暗号化は基本！ 🌐: すべての通信はHTTPSを使用し、最新バージョンのTLS設定を適用して中間者攻撃を防ぎます。
保存データ暗号化 💾: データベースに保存されるすべての機密情報は、強力な暗号化アルゴリズム(AESなど)を使用して暗号化します。
強力なパスワードハッシュ化 🧂: パスワードは必ずBcrypt、Scrypt、Argon2のような最新アルゴリズムを使用してソルトを追加してハッシュ化します。
安全な鍵管理 🗝️: 暗号化鍵をコードや設定ファイルに置かず、専用の鍵管理システムを使用してください。
車輪の再発明はしないでください 🤓: 決して自分で暗号化アルゴリズムを作成しようとしないでください。数多くの専門家によって検証され、広く使用されている標準ライブラリを使用することが最も安全で賢明な方法です。

✨ 終わりに

暗号化はセキュリティの基本中の基本ですが、「どのように」適用するかによってその効果は千差万別です。「とりあえず暗号化したから大丈夫」という考えは非常に危険です。

今日から、自分が扱うデータが安全な鍵でしっかりとロックされているか、そしてその鍵は自分だけが知っている場所にしっかりと保管されているか、もう一度確認してみてはいかがでしょうか？データセキュリティの第一歩は、正しい暗号化から始まります！