auth-audit について
auth-auditは、認証と認可の実装を一貫して点検するスキルです。トークンやセッションのライフサイクル、OAuth2、パスワード、MFA、暗号方式、アクセス制御を調べ、一般的な脆弱性を確認します。
主な機能
- 01JWTの署名・期限・更新・保存を監査
- 02セッションのライフサイクルと固定リスクを確認
- 03OAuth2のPKCE・state・リダイレクトを確認
- 04パスワード規則とリセット手順を点検
- 05MFA・復旧・RBAC・ABACを確認
活用シーン
- 01JWTベースの認証システムの点検
- 02OAuth2ログインとリダイレクトの監査
- 03ログイン後のセッション処理の確認
- 04認可とMFA制御の評価
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/auth-auditを入力して読み込まれたか確認します。
同梱ファイルreferences/auth-patterns.mdreferences/templates/auth-checklist.md
詳細
このスキルは、認証・認可の実装をエンドツーエンドで監査します。JWT の署名アルゴリズム、有効期限、更新、保存方法、セッションの保存、有効期限、再生成、固定化、OAuth2 の PKCE、state パラメーター、リダイレクト検証、パスワードのハッシュ化アルゴリズム、強度のルール、リセットフロー、MFA の実装、バックアップコード、リカバリーを確認します。
固定のワークフローに沿って、認証の実装を検出し、既知のアンチパターンをスキャンし、暗号方式を検証し、トークン／セッションのライフサイクルを確認し、認可ロジック（RBAC／ABAC）を監査します。none で署名された JWT、強度が不足している JWT シークレット、トークンの有効期限がない、または長すぎる、localStorage に保存されたリフレッシュトークン、セッション固定化、CSRF 対策の欠如、PKCE または state パラメーターがない OAuth フローなどの脆弱性を確認します。
認証監査スキル
概要
認証・認可の実装を包括的に監査します。
監査カテゴリ
| カテゴリ | 確認項目 |
|---|---|
| JWT | 署名アルゴリズム、有効期限、更新、保存方法 |
| セッション | 保存、有効期限、再生成、固定化 |
| OAuth2 | PKCE、state パラメーター、リダイレクト検証 |
| パスワード | ハッシュ化アルゴリズム、強度のルール、リセットフロー |
| MFA | 実装、バックアップコード、リカバリー |
ワークフロー
- 検出：認証の実装（JWT、セッション、OAuth）を特定します
- スキャン：既知のアンチパターンを探します
- 検証：暗号方式を確認します
- 確認：トークン／セッションのライフサイクルを調べます
- 監査：認可ロジック（RBAC、ABAC）を調べます
一般的な脆弱性
noneアルゴリズムで署名された JWT- 短すぎる JWT シークレット（< 256 ビット）
- トークンの有効期限がない、または長すぎる
- localStorage に保存されたリフレッシュトークン
- ログイン後のセッション固定化
- CSRF 対策の欠如
- パブリッククライアント向け OAuth での PKCE の欠如
- OAuth フローでの
stateパラメーターの欠如
参考資料
コメント
Markdown 対応