b7c2a4db08
## 概要 既存のスタンス/インストラクションに埋め込まれているフロントエンド・バックエンド等の専門知識をknowledgeファイルとして抽出し、抽出元に適切に付与する。 --- ## タスク ### 1. 専門知識の抽出（優先度: 高） 既存のスタンス・インストラクションファイルをレビューし、以下の専門知識を特定・抽出： - **フロントエンド知識**（React、CSS、UI/UXなど） - **バックエンド知識**（API設計、DB、サーバーサイドなど） - **その他の専門知識**（発見したもの） 抽出した知識をknowledgeファイルとして作成する。 ### 2. 抽出元への付与（優先度: 高） 抽出した知識を、元々その知識を使用していたスタンス/インストラクションに付与設定する。 - 抽出元 = 付与先 --- ## 確認方法 - 抽出後、元のスタンス/インストラクションから専門知識が分離されていること - 抽出元にknowledgeが正しく付与設定されていること
165 lines
5.1 KiB
Markdown
165 lines
5.1 KiB
Markdown
# セキュリティ知識
|
||
|
||
## AI生成コードのセキュリティ問題
|
||
|
||
AI生成コードには特有の脆弱性パターンがある。
|
||
|
||
| パターン | リスク | 例 |
|
||
|---------|--------|-----|
|
||
| もっともらしいが危険なデフォルト | 高 | `cors: { origin: '*' }` は問題なく見えるが危険 |
|
||
| 古いセキュリティプラクティス | 中 | 非推奨の暗号化、古い認証パターンの使用 |
|
||
| 不完全なバリデーション | 高 | 形式は検証するがビジネスルールを検証しない |
|
||
| 入力を過度に信頼 | 重大 | 内部APIは常に安全と仮定 |
|
||
| コピペによる脆弱性 | 高 | 同じ危険なパターンが複数ファイルで繰り返される |
|
||
|
||
特に厳しく審査が必要:
|
||
- 認証・認可ロジック（AIはエッジケースを見落としがち）
|
||
- 入力バリデーション（AIは構文を検証しても意味を見落とす可能性）
|
||
- エラーメッセージ（AIは内部詳細を露出する可能性）
|
||
- 設定ファイル（AIは学習データから危険なデフォルトを使う可能性）
|
||
|
||
## インジェクション攻撃
|
||
|
||
**SQLインジェクション**
|
||
|
||
- 文字列連結によるSQL構築 → REJECT
|
||
- パラメータ化クエリの不使用 → REJECT
|
||
- ORMの raw query での未サニタイズ入力 → REJECT
|
||
|
||
```typescript
|
||
// NG
|
||
db.query(`SELECT * FROM users WHERE id = ${userId}`)
|
||
|
||
// OK
|
||
db.query('SELECT * FROM users WHERE id = ?', [userId])
|
||
```
|
||
|
||
**コマンドインジェクション**
|
||
|
||
- `exec()`, `spawn()` での未検証入力 → REJECT
|
||
- シェルコマンド構築時のエスケープ不足 → REJECT
|
||
|
||
```typescript
|
||
// NG
|
||
exec(`ls ${userInput}`)
|
||
|
||
// OK
|
||
execFile('ls', [sanitizedInput])
|
||
```
|
||
|
||
**XSS (Cross-Site Scripting)**
|
||
|
||
- HTML/JSへの未エスケープ出力 → REJECT
|
||
- `innerHTML`, `dangerouslySetInnerHTML` の不適切な使用 → REJECT
|
||
- URLパラメータの直接埋め込み → REJECT
|
||
|
||
## 認証・認可
|
||
|
||
**認証の問題**
|
||
|
||
- ハードコードされたクレデンシャル → 即REJECT
|
||
- 平文パスワードの保存 → 即REJECT
|
||
- 弱いハッシュアルゴリズム (MD5, SHA1) → REJECT
|
||
- セッショントークンの不適切な管理 → REJECT
|
||
|
||
**認可の問題**
|
||
|
||
- 権限チェックの欠如 → REJECT
|
||
- IDOR (Insecure Direct Object Reference) → REJECT
|
||
- 権限昇格の可能性 → REJECT
|
||
|
||
```typescript
|
||
// NG - 権限チェックなし
|
||
app.get('/user/:id', (req, res) => {
|
||
return db.getUser(req.params.id)
|
||
})
|
||
|
||
// OK
|
||
app.get('/user/:id', authorize('read:user'), (req, res) => {
|
||
if (req.user.id !== req.params.id && !req.user.isAdmin) {
|
||
return res.status(403).send('Forbidden')
|
||
}
|
||
return db.getUser(req.params.id)
|
||
})
|
||
```
|
||
|
||
## データ保護
|
||
|
||
**機密情報の露出**
|
||
|
||
- APIキー、シークレットのハードコーディング → 即REJECT
|
||
- ログへの機密情報出力 → REJECT
|
||
- エラーメッセージでの内部情報露出 → REJECT
|
||
- `.env` ファイルのコミット → REJECT
|
||
|
||
**データ検証**
|
||
|
||
- 入力値の未検証 → REJECT
|
||
- 型チェックの欠如 → REJECT
|
||
- サイズ制限の未設定 → REJECT
|
||
|
||
## 暗号化
|
||
|
||
- 弱い暗号アルゴリズムの使用 → REJECT
|
||
- 固定IV/Nonceの使用 → REJECT
|
||
- 暗号化キーのハードコーディング → 即REJECT
|
||
- HTTPSの未使用（本番環境） → REJECT
|
||
|
||
## ファイル操作
|
||
|
||
**パストラバーサル**
|
||
|
||
- ユーザー入力を含むファイルパス → REJECT
|
||
- `../` のサニタイズ不足 → REJECT
|
||
|
||
```typescript
|
||
// NG
|
||
const filePath = path.join(baseDir, userInput)
|
||
fs.readFile(filePath)
|
||
|
||
// OK
|
||
const safePath = path.resolve(baseDir, userInput)
|
||
if (!safePath.startsWith(path.resolve(baseDir))) {
|
||
throw new Error('Invalid path')
|
||
}
|
||
```
|
||
|
||
**ファイルアップロード**
|
||
|
||
- ファイルタイプの未検証 → REJECT
|
||
- ファイルサイズ制限なし → REJECT
|
||
- 実行可能ファイルのアップロード許可 → REJECT
|
||
|
||
## 依存関係
|
||
|
||
- 既知の脆弱性を持つパッケージ → REJECT
|
||
- メンテナンスされていないパッケージ → 警告
|
||
- 不必要な依存関係 → 警告
|
||
|
||
## エラーハンドリング
|
||
|
||
- スタックトレースの本番露出 → REJECT
|
||
- 詳細なエラーメッセージの露出 → REJECT
|
||
- エラーの握りつぶし（セキュリティイベント） → REJECT
|
||
|
||
## レート制限・DoS対策
|
||
|
||
- レート制限の欠如（認証エンドポイント） → 警告
|
||
- リソース枯渇攻撃の可能性 → 警告
|
||
- 無限ループの可能性 → REJECT
|
||
|
||
## OWASP Top 10 チェックリスト
|
||
|
||
| カテゴリ | 確認事項 |
|
||
|---------|---------|
|
||
| A01 Broken Access Control | 認可チェック、CORS設定 |
|
||
| A02 Cryptographic Failures | 暗号化、機密データ保護 |
|
||
| A03 Injection | SQL, コマンド, XSS |
|
||
| A04 Insecure Design | セキュリティ設計パターン |
|
||
| A05 Security Misconfiguration | デフォルト設定、不要な機能 |
|
||
| A06 Vulnerable Components | 依存関係の脆弱性 |
|
||
| A07 Auth Failures | 認証メカニズム |
|
||
| A08 Software Integrity | コード署名、CI/CD |
|
||
| A09 Logging Failures | セキュリティログ |
|
||
| A10 SSRF | サーバーサイドリクエスト |
|