WSTG Issue 728 — バックエンド保存前のパスワードハッシュ化確認テスト項目の追加提案
WSTG Issue 728 — バックエンド保存前のパスワードハッシュ化確認テスト項目の追加提案
概要
- 日付: 2026-06-13 (最終更新)
- Issue番号: #728
- ステータス: Open
- URL: https://github.com/OWASP/wstg/issues/728
変更内容の要約
WSTGに、Webアプリケーションがバックエンドにパスワードを保存する前に適切にハッシュ化しているかどうかを確認するテスト項目の追加が提案されている。
提案者によると、現代では稀であるべきだが、実際にプレーンテキストまたは不適切な形式でパスワードを保存しているアプリケーションに何度か遭遇しており、この発見にマッチする適切なWSTG項目が存在しないとの指摘。
特にソースコードにアクセスできる場合、この確認は非常に重要であるとされている。
セキュリティ関連の詳細
- 影響カテゴリ: 認証、パスワード管理、データ保護
- リスクレベル: 高 — パスワードの平文保存はデータ侵害時に直接的なクレデンシャル流出に繋がる
- テスト手法のギャップ: 現行WSTGにはパスワード保存形式の検証を明示的にカバーする項目が不足している
- ソースコードレビューとの統合: ソースコードアクセス可能なテストシナリオでの適用が想定される
技術的考察
- 現行WSTGのカバレッジ: WSTG-CRYPST-01（パスワード管理）は存在するが、保存前のハッシュ化に特化したテスト手順が不足
- 提案されたテストケース:
- データベース内のパスワードフィールド形式の確認
- ハッシュアルゴリズムの特定（bcrypt, Argon2, PBKDF2等）
- ソルトの使用確認
- プレーンテキストパスワードのログ出力有無
- ソースコードレビューでの検証ポイント:
- パスワード入力処理パイプラインの追跡
- ORM/データアクセスメソッドでのハッシュ適用確認