OWASP ASVS から読み解くセキュアな OAuth/OIDC サーバー実装のポイント

今回の勉強会のテーマは、Web アプリケーションのセキュリティ要件を定義した文書「OWASP ASVS (Application Security Verification Standard)」。2025年5月にリリースされた OWASP ASVS 5.0.0 では、OAuth と OpenID Connect (OIDC) に関する要件が独立した章 (V10) として新設されました。これは、現代の Web アプリケーションにおいて OAuth/OIDC が中心的な要素になっていることを示しています。

その反面、OAuth/OIDC は仕様が複雑で、設計・実装において判断に迷う場面が多くあります。この勉強会では、Authlete のメンバーが、認可サーバー・OpenID プロバイダー実装の視点から、ASVS 5.0.0 V10の認可サーバー・OpenID プロバイダーに関する要件を中心に、その内容を読み解きながらポイントをお話しします。

また、GMO サイバーセキュリティ byイエラエ株式会社より名古屋謙彦氏をゲストに迎え、クライアント実装の視点から、OWASP ASVS 5.0.0 V10における OAuth/OIDC クライアント要件を軸に、V6の認証や V7のセッション管理、NIST SP 800-63との違いにも触れながら、アプリケーション側で担保すべきポイントを実例とともにご紹介いただきます。

イベントはハイブリッド形式で行い、オンラインでもご参加いただけます。プレゼンテーションの録画は後日公開しますが、質疑応答は非公開とさせていただきます。

OWASP ASVS 5.0.0 のセキュリティ要件を満たす OAuth/OIDC の実装に興味のある方は、ぜひご参加ください。

イベント概要

• 題名：OWASP ASVS から読み解くセキュアな OAuth/OIDC サーバー実装のポイント
• 日時：2026年8月27日（木） 18:30～20:45（受付開始 18:00〜）
• 形式：現地参加・オンライン配信（配信 URL は開催前日より申込者に公開）
• 会場：FINOLAB イベントスペース（東京都千代田区大手町1-6-1 大手町ビル4F）
• 主催：株式会社 Authlete
• 費用：無料（事前登録制、参加のご登録は8月27日午後5時までにお願いします）
• 詳細および参加申込：https://authlete.connpass.com/event/400077/

‍

アジェンダ

18:30-18:55　「OWASP ASVS とは」　株式会社 Authlete ソリューションコンサルタント 野村健太郎

Webアプリ・API セキュリティの指針となる「OWASP ASVS」の最新版 5.0.0（2025年5月公開）を概観します。5.0.0 では新たに “OAuth and OIDC” に関する章が追加されました。このセッションでは、OWASP ASVS の全体像を解説します。

18:55-19:20　「認可サーバーの ASVS 準拠 with Authlete」　株式会社 Authlete ソリューションコンサルタント 森川将聖

ASVS 5.0.0 で新設された「V10: OAuth and OIDC」の認可サーバーに関する要件を整理し、既存のセキュリティプロファイル（FAPI 2.0）の要求事項との比較も交えながら、Authlete を用いてどのように認可サーバーが対応するかをご紹介します。

19:20-19:45　「プロトコルが守るもの、アプリケーションが守るもの ― ASVS から読み解く OAuth/OIDC クライアント実装」　GMO サイバーセキュリティ byイエラエ株式会社 高度解析部 名古屋謙彦 

OAuth/OIDC には、さまざまな脅威に対処するための保護機構が備わっています。しかし、クライアント側での扱い次第では、アプリケーションがその保護を自ら崩してしまうことがあります。本セッションでは、OWASP ASVS 5.0.0の V10における OAuth/OIDC クライアント要件を軸に、V6の認証や V7のセッション管理、NIST SP 800-63との違いにも触れながら、アプリケーション側で担保すべきポイントを実例とともに紹介します。

19:45-19:55　 Q&A (非公開)

19:55-20:45　交流会（現地会場のみ）

‍

登壇者略歴（敬称略）

• GMO サイバーセキュリティ byイエラエ株式会社 高度解析部 名古屋謙彦 （@ayokura）

インフラエンジニアを経て、セキュリティエンジニアとして脅威分析や技術調査、設計支援に従事。OpenID ファウンデーション・ジャパンの WG でも活動。CISSP、情報処理安全確保支援士(033976号)。デジタル ID は、僕が僕であることを、あなたがあなたであることを証明できる大切なパーツで、学生時代からずっと好きな技術領域です。

• 株式会社 Authlete ソリューションコンサルタント 野村健太郎

オープンソースを用いた ID 管理・SSO 基盤構築の経験を経て、IDaaS 立ち上げに参画しクラウドインフラ設計・運用を担当。その後、クラウド型 WAF・Web アプリケーション診断サービスの運用・テクニカルサポートに従事。2025 年より現職。

• 株式会社 Authlete ソリューションコンサルタント 森川将聖

電力会社にて新規事業向けのアイデンティティ管理・認証サービスのシステム担当を経て、2021 年に Authlete へ入社。現在は主に Authlete の事業開発に従事。

‍

「OAuth & OpenID Connect 勉強会」は OAuth と OIDC に関する話題を幅広く扱う勉強会です。また、あらゆるサービスの OAuth/OIDC 実装を最速で実現する API「Authlete」の活用方法・事例などを各回のテーマに合わせて紹介します。

過去の勉強会アーカイブはこちらからご覧ください。

皆様のご参加をお待ちしております！