auth-audit について
auth-audit は、JWT、セッション、OAuth2、パスワード、MFA にわたる認証・認可の実装を確認するスキルです。暗号方式、トークンのライフサイクル、認可ロジックを調べ、よくあるセキュリティ上の問題を見つけます。
主な機能
- 01JWT の署名・有効期限・更新・保存の確認
- 02セッションのライフサイクルと固定攻撃の確認
- 03OAuth2 の PKCE とリダイレクト検証
- 04パスワードハッシュとリセット手順の確認
- 05MFA の復旧と認可ロジックの確認
活用シーン
- 01新しい認証実装のレビュー
- 02トークンとセッション処理の確認
- 03OAuth2 とパスワードの安全性監査
- 04認可や MFA の弱点の検出
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/auth-auditを入力して読み込まれたか確認します。
詳細
このスキルは、認証・認可の実装をエンドツーエンドで監査します。JWT の署名アルゴリズム、有効期限、更新、保存方法、セッションの保存、有効期限、再生成、固定化、OAuth2 の PKCE、state パラメーター、リダイレクト検証、パスワードのハッシュ化アルゴリズム、強度のルール、リセットフロー、MFA の実装、バックアップコード、リカバリーを確認します。
固定のワークフローに沿って、認証の実装を検出し、既知のアンチパターンをスキャンし、暗号方式を検証し、トークン／セッションのライフサイクルを確認し、認可ロジック（RBAC／ABAC）を監査します。none で署名された JWT、強度が不足している JWT シークレット、トークンの有効期限がない、または長すぎる、localStorage に保存されたリフレッシュトークン、セッション固定化、CSRF 対策の欠如、PKCE または state パラメーターがない OAuth フローなどの脆弱性を確認します。
認証監査スキル
概要
認証・認可の実装を包括的に監査します。
監査カテゴリ
| カテゴリ | 確認項目 |
|---|---|
| JWT | 署名アルゴリズム、有効期限、更新、保存方法 |
| セッション | 保存、有効期限、再生成、固定化 |
| OAuth2 | PKCE、state パラメーター、リダイレクト検証 |
| パスワード | ハッシュ化アルゴリズム、強度のルール、リセットフロー |
| MFA | 実装、バックアップコード、リカバリー |
ワークフロー
- 検出：認証の実装（JWT、セッション、OAuth）を特定します
- スキャン：既知のアンチパターンを探します
- 検証：暗号方式を確認します
- 確認：トークン／セッションのライフサイクルを調べます
- 監査：認可ロジック（RBAC、ABAC）を調べます
一般的な脆弱性
noneアルゴリズムで署名された JWT- 短すぎる JWT シークレット（< 256 ビット）
- トークンの有効期限がない、または長すぎる
- localStorage に保存されたリフレッシュトークン
- ログイン後のセッション固定化
- CSRF 対策の欠如
- パブリッククライアント向け OAuth での PKCE の欠如
- OAuth フローでの
stateパラメーターの欠如
参考資料
コメント
Markdown 対応