今さら聞けない暗号技術 & 認証・認可 Web 系エンジニア必須のセキュリティ基礎力を UP

本書は、Web システムのセキュリティを支える技術を幅広く解説します。具体的には、公開鍵暗号、共通鍵暗号、ディジタル証明書、電子署名、認証・認可などの基礎技術の用語や理論の説明から、それらを応用した SSL/TLS、SSH、OAuth、OpenID Connect など各種の規約やプロダクトの使い方までを解説します。
今や Web システムは社会や経済を支える基盤となっており、Web システムの開発・運用に携わる IT エンジニアは前述の技術の理解が欠かせません。暗号技術、認証・認可にかかわる基礎教養と具体的な規約・プロダクトをこの 1 冊で学べます。
本書は、IT 月刊誌『Software Design』の暗号技術、認証・認可に関連する特集記事などを再編集した書籍です。
第 1 章 今さら聞けない暗号技術
1-1 ネット社会を支える暗号化のキホン
1-2 公開鍵暗号と共通鍵暗号のしくみ
1-3 暗号を使った認証技術
1-4 Python による楕円曲線暗号の実装

第 2 章 実務に活かせる SSL/TLS 入門
2-1 SSL/TLS 総ざらい
2-2 Let's Encrypt で実践する証明書の発行 / 更新

第 3 章 今さら聞けない SSH
3-1 リモートログインとコマンドの実行
3-2 SSH の便利な使い方 & トラブルシューティング

第 4 章 今さら聞けない認証・認可
4-1 アプリケーション開発を行う際に押さえておきたい認証・認可とは
4-2 認証・認可のしくみとフロー
4-3 クラウド時代の ID 管理技術
4-4 インターネット上で安全な認証・認可を実現するための取り組み

第 5 章 挫折しない OAuth/OpenID Connect 入門
5-1 OAuth とは、OpenID Connect とは
5-2 知っておきたい仕様と規格
5-3 トークンハンドリングの基本

『今さら聞けない暗号技術 & 認証・認可』 (大竹章裕ほか 10 名 著、技術評論社 (Software Design 別冊)、2023 年 3 月 6 日発売) は、Web システムのセキュリティを支える暗号技術と認証 / 認可を、基礎の用語や理論から SSL/TLS、SSH、OAuth、OpenID Connect といった規約やプロダクトの使い方まで解説した本です。副題は「Web 系エンジニア必須のセキュリティ基礎力を UP」です。版元の概要によれば、IT 月刊誌『Software Design』の暗号技術、認証 / 認可に関連する特集記事などを再編集した書籍で、著者は大竹章裕、瀬戸口聡、庄司勝哉、光成滋生、谷口元紀、くつなりょうすけ、栃沢直樹、渥美淳一、宮川晃一、富士榮尚寛、川﨑貴彦の 11 名です。版元ページのおすすめの欄には、Web システムに携わるエンジニアとセキュリティに携わるエンジニアが挙がっています。

暗号技術の基本から OpenID Connect まで、全 5 章の構成

第 1 章「今さら聞けない暗号技術」は、ネット社会を支える暗号化のキホン、公開鍵暗号と共通鍵暗号のしくみ、暗号を使った認証技術、Python による楕円曲線暗号の実装の 4 節です。第 2 章「実務に活かせる SSL/TLS 入門」は SSL/TLS 総ざらいと、Let's Encrypt で実践する証明書の発行と更新の 2 節、第 3 章「今さら聞けない SSH」はリモートログインとコマンドの実行、SSH の便利な使い方とトラブルシューティングの 2 節で構成されています。第 4 章「今さら聞けない認証・認可」は、アプリケーション開発を行う際に押さえておきたい認証 / 認可とは、認証 / 認可のしくみとフロー、クラウド時代の ID 管理技術、インターネット上で安全な認証 / 認可を実現するための取り組みの 4 節で、第 5 章「挫折しない OAuth/OpenID Connect 入門」は OAuth とは、OpenID Connect とは、知っておきたい仕様と規格、トークンハンドリングの基本の 3 節で締めくくります。2026 年 10 月の閲覧時点では、版元ページに常識度チェックと題した試し読みの PDF が置かれています。

鍵の受け渡し、署名、証明書がひと続きになる理由

暗号の仕組みを学ぶと最初につまずくのは、なぜ方式が何種類も組み合わされているのかという点です。送り手と受け手が同じ鍵を使う方式は処理が速い反面、その鍵を安全に相手へ渡す方法が別に要ります。鍵の組を分けて片方を公開できる方式は受け渡しの問題を解きますが、計算の負担が大きいため、通信の暗号化では鍵を共有する段階にだけ使い、本体のデータは速い方式で暗号化する組み合わせが基本になります。改ざんの検出には、送る内容から計算した ハッシュ 値をもとに秘密鍵で署名値を作って添え、受け手が対応する公開鍵でその値を検証する仕組みが使われます。残る問題は、受け取った公開鍵が本当に通信相手のものかを鍵だけでは判断できないことで、これを認証局がサーバーの身元を確かめて発行する TLS 証明書 が補います。楕円曲線を使う方式は、同程度の強さをより短い鍵で得られる点が特徴です。

認証と認可を分けて考えるための背景

認証は相手が誰であるかを確かめること、認可はその相手に何を許すかを決めることで、ログインの画面ではこの 2 つが一度に起きるため混同されがちです。OAuth 2.0 は、利用者のパスワードを別のアプリケーションへ渡さずに、資源への限られたアクセスを許すための認可の枠組みとして設計されています。それ自体は利用者が誰かを伝える仕組みではないため、ログインに使う場面では、その上に身元の情報を載せた ID トークンを加えた OpenID Connect が使われます。発行されたトークンの保管場所や有効期限、署名の検証を誤ると、暗号の方式そのものが強くてもなりすましや情報漏えいにつながるので、仕様の理解とトークンの扱いは切り離せません。

Web システムとセキュリティに携わるエンジニアが選ぶ判断材料

版元がおすすめする読者は、Web システムに携わるエンジニアと、セキュリティに携わるエンジニアです。目次には、クロスサイトスクリプティングのような Web アプリケーションの脆弱性とその対策を主題にした章はありません。そうした分野も含めたセキュリティの本の選び方は セキュリティ本の選び方 にまとめています。雑誌の特集を再編集した本なので、扱う製品やサービスの画面と手順は 2023 年 3 月の刊行時点までの内容が前提です。HTTPS の証明書の更新や SSH の鍵の設定、OAuth や OpenID Connect を使ったログインの組み込みを日々の仕事で扱いながら、その下で暗号と仕様がどう噛み合っているのかを 1 冊で一通り押さえ直したいエンジニアにとって、本書は基礎を固め直す足場として選びやすい本です。