入力データが、ソフトウェアが想定しているデータ形式であるかどうかを「検証」することです。すなわち、データの「妥当性」を明確に確認して、「安全性」を向上させること。

想定外のデータ形式の入力データ（不正データ）の場合は、プログラム内へ入れない仕組み。プログラムが正しく動作する為に「妥当な入力データ」だけ入場を許可します。Webクライアントからは整数しか送信できないデータが文字列であるのは不正です。このような不正なデータは「アーリーイグジット／フェイルファースト原則」（失敗する場合は可能な限り早く失敗させるプログラミング原則）に従って拒否する必要があります。

玄関ドアを設置する、カギをかける、建物の入口のガードマンのような働きや、IDがないと建物内に入れないなどと同様、入口のセキュリティ対策です。安全なプログラムである為に、一番重要な機構です。

想定外のデータがプログラム内部に侵入し、アプリケーションが正しく動かなくなります。そして、「どんな」誤作動が「いつ」「どこで」起きるのかわからない状態にー。

誤作動には、サービスが提供できなくなったり、不正アクセスをされデータがなくなったり、改ざんされたり、データが盗まれたりすることも含まれます。「 エラー」、「バグ」、そして「攻撃」による甚大な被害を与える動作を許してしまいます。

以下の組織が、「入力データバリデーション」を要求しています。

• ISO （実質1995年から）ISO17799、ISO27001
• IPA（2017年から）セキュアプログラミング講座
• MITRE（日本のIPAに相当する米国の政府外郭機関）CWE TOP 25 など
• CERT（1989年から）セキュアコーディング原則
• OWASP（2005年から）OWASP TOP 10など

「セキュアコーディング」は、安全なプログラム構築する為のプログラミング技術です。安全なプログラムとは開発者が意図した通りに動作するプログラム。セキュリティ問題はたった一文字の間違いでも致命的問題になります。細かいコーディング技術から大きな基本原則まで全てが重要ですが、まず原則が実装されていなければ始まりません。その原則の一番目が『入力データバリデーション』です。

セキュリティ対策として「入力データバリデーション機構」を使い、すべての入力に対して、以下のチェックをする設計になっていることが重要です。

• 長さ
• 入力タイプ
• 文法／形式
• 入力の過不足
• 入力値の整合性
• ビジネスルール

これらをチェックし、必要としている値以外はプログラムの内部に入れさせない、プログラムに設計した以外の動作をさせないようにします。

「エラー」「バグ」どちらも「不正な値」のデータが侵入してプログラムが想定した動作ができない状態です。そして、悪意ある攻撃者もまたアプリケーションに対して「不正な値のデータを送って攻撃」します。 「不正な値」を排除しないとサンドバック状態、攻撃され放題です。（OWASP TOP 10:2017 A10に脆弱なアプリになる対策をしてないアプリは）

例えば、攻撃者はよくあるセキュリティ問題があるかどうか「一度に沢山のパラメーターを送って確認」します。これらには、URL/HTTPヘッダー/POSTデータにありとあらゆるデバッグフラグとなる引数を大量載せて確認します。

2019 CWE TOＰ25 CWE-20 は、深刻な脆弱性につながる最も広く知られている重大なソフトウェアの弱点の実証リストです。

あなたのサイトは大丈夫ですか？

実は、外部から何が送りつけられてくるのか分からないのに、多くのサイトで入口でセキュリティ対策していない（「入力データバリデーション」を実装していない）サイトが多いのが現状です。

つまり、安全なプログラムではない状態です。

例えるなら、自宅に想定外の見知らぬ人がいつでも自由に出入りする可能性がある状態です。悪意がある・なしに関わらず盗んだり、壊したり、傷つけられるかもしれません。徘徊されるだけでも嫌ですよね。

プログラムの場合、エラーや被害が露見するまで、侵入してしまえばその姿に気が付かないのも特徴です。

できる限り、まずは悪さをする可能性がある「不正データ」は拒否して、内部に入れないことが重要です。