セキュア・バイ・デザインを学ぶ ~ ドメイン・プリミティブ / domain primitive ~

セキュリティを担保することを考えたときに、よく採用される考え方がセキュリティの優先度をもっとも高くする、ということです。
このアプローチでは、開発者はXSS攻撃のような脅威についての知識を持っていなければならず、低レイヤーのプロトコルにおける脆弱性に注意を払い、あらゆるセキュリティについての知識やテクニックを習得している必要があります。

このアプローチが成立していたのはセキュリティに関する脆弱性が今ほど多くない時代の話であり、このアプローチで解決できるのであれば過去に問題となった脆弱性による侵害が今でも繰り返し起こるはずがありません。
開発者に常にセキュリティを意識させ、同等の知識を持つことを求めるのは無理があります。

これは、セキュリティは重要ではない、ということを言いたいわけではなく、別のアプローチがある、ということなのです。
その別のアプローチとは、ソフトウェアの開発において、セキュリティを中心に考えるのではなく、設計を中心に考えることです。
意識する対象を設計に移すことで、セキュリティを常に意識続けることなくソフトウェアの安全性を高い水準で確立できるようになります。

つまり、良い設計をすることでセキュリティが向上させられるのだ、ということです。

そして、実際に設計を中心に考えることでセキュリティを向上させられる例として、ドメイン・プリミティブの利用があげられています。

例えば、ユーザ名を画面に表示する典型的なWebアプリケーションを考えます。
User クラスが以下のようなシンプルな作りだったとします。

public class User {
　　public User(final Long id, final String username) {
　　　　this.id = id;
　　　　this.username = username;
　　}
}

このような実装の場合、もし攻撃者がユーザ名として <script>何かしらのスクリプト</script> と登録したらどうなるでしょうか？悪意のあるコードが実装されてしまいます。

そこでもし、username として、ドメイン・プリミティブを利用していたらどうなるでしょうか？

public class UserName {
　　private static final String VALID_CHARACTERS = “[A-Za-z0-9_-]+”;

　　public Username(final String value) {
　　　　validate(value, VALID_CHARACTERS)
　　　　this.value = value
　　}
}

もはや <script>何かしらのスクリプト</script> という値は許可されなくなります。

そして、ここで注目して欲しいのが、セキュリティについてまだ考え始めてもいないということです。