---
generated_at: 2026-03-01 12:00:00
metrics:
  claims_total: 25
  claims_with_evidence: 22
  claims_without_evidence: 3
confidence_derived: 0.88
---

# 根拠レポート：セキュリティ設計書

## 本レポートについて

### 目的
本レポートは、生成された設計書・ドキュメントの信頼性を検証し、人間レビュアーが効率的にレビューできるようにすることを目的としています。

### チェック方法
以下の観点でドキュメントの内容（Claim：主張）を検証しています：

1. **根拠の有無確認**：各主張に対して、ソースコード・既存設計書・要件定義書などの根拠（Evidence）が存在するか
2. **根拠との整合性**：主張の内容が根拠と矛盾していないか
3. **網羅性**：参照すべき情報源を適切にカバーしているか

### 信頼度スコアの算出
- **confidence_derived** = 根拠あり件数 / 総主張件数
- 状態「○」：根拠あり、「△」：根拠不足または要確認

### 本レポートの使い方
1. まず「サマリー」で全体の信頼度と優先レビュー項目を確認
2. 「Claims と根拠の対応」で △ の項目を重点的にレビュー
3. 「不足情報」で補完が必要な情報源を確認

---

## 1) サマリー（まず見るところ）
- 総合信頼度（derived）：**0.88**
  - 根拠あり：22 / 25、根拠なし：3
- 優先レビュー（高）
  1. **TLS バージョン設定の詳細**：OS デフォルト依存のため明示的な設定コードが未確認
  2. **ETW ログ保持期間**：OS の ETW 設定に依存とした記載だが、具体的なポリシー設定の根拠なし
  3. **トークンメモリワイプ未実装**：未実装であることの明示的な根拠（意図的な設計判断か否か）が不明

## 2) 参照した情報（Evidence一覧）
> ここに「実在するもの」だけ列挙。抽出フェーズで付けたIDをそのまま出す。

- E-01: `src/cascadia/TerminalConnection/AzureConnection.cpp` — デバイスコードフロー実装（行 611-658）
- E-02: `src/cascadia/TerminalConnection/AzureConnection.cpp` — Bearer トークン設定（行 855-859）
- E-03: `src/cascadia/TerminalConnection/AzureConnection.cpp` — リフレッシュトークン更新（行 953-970）
- E-04: `src/cascadia/TerminalConnection/AzureConnection.cpp` — `_expireLimit` 定数（行 59）
- E-05: `src/cascadia/TerminalConnection/AzureConnection.cpp` — PasswordVault 使用（行 467, 1077-1079）
- E-06: `src/cascadia/TerminalConnection/AzureConnection.cpp` — 資格情報バージョン管理（行 23, 494-500）
- E-07: `src/cascadia/TerminalConnection/AzureConnection.cpp` — セッションID 管理（行 84, 89）
- E-08: `src/server/ProcessPolicy.h` / `ProcessPolicy.cpp` — AppModel / IntegrityLevel ポリシーチェック
- E-09: `src/server/ObjectHandle.cpp` — ハンドルベースのアクセス制御（行 149, 169）
- E-10: `src/cascadia/TerminalConnection/AzureConnection.cpp` — HTTPS 強制通信（行 790-793）
- E-11: `src/cascadia/TerminalConnection/AzureConnection.cpp` — WSS アップグレード（行 796-801）
- E-12: `src/cascadia/WinRTUtils/inc/WtExeUtils.h` — コマンドラインエスケープ処理（行 123-147）
- E-13: `src/cascadia/TerminalConnection/AzureConnection.cpp` — テナント選択バウンダリチェック（行 683-690）
- E-14: `src/cascadia/TerminalConnection/AzureConnection.cpp` — JSON パースエラーハンドリング（行 487-500）
- E-15: `src/cascadia/TerminalConnection/pch.h` — TraceLogging プロバイダ宣言（行 35-36）
- E-16: `src/cascadia/TerminalConnection/AzureConnection.cpp` — 例外ログマクロ使用（行 125, 273, 507, 1106）
- E-17: `src/inc/til/io.h` — SDDL による MIL 設定（行 171-189）
- E-18: `src/cascadia/WindowsTerminal/WindowEmperor.cpp` — SDDL セキュリティ記述子適用（行 1120-1128）
- E-19: `vcpkg.json` — 依存ライブラリのバージョン管理
- E-20: `src/cascadia/TerminalSettingsModel/SshHostGenerator.cpp` — OpenSSH ホスト検出（行 17-24）
- E-21: `src/cascadia/TerminalConnection/AzureConnection.cpp` — winrt::hstring によるトークン管理（行 60-61）
- E-22: `src/cascadia/TerminalConnection/AzureConnection.cpp` — ANSIエスケープシーケンス出力（行 37-40）

## 3) Claims と根拠の対応（レビューの主戦場）
| Claim ID | 主張 | Evidence | 状態 |
|---|---|---|---|
| C-01 | OAuth 2.0 Device Authorization Grant を採用 | E-01 | ○ |
| C-02 | Bearer トークンスキームで HTTP Authorization ヘッダーに設定 | E-02 | ○ |
| C-03 | リフレッシュトークンによるアクセストークン自動更新 | E-03 | ○ |
| C-04 | トークン有効期限猶予が2700秒（45分） | E-04 | ○ |
| C-05 | Windows Credential Manager（PasswordVault / DPAPI）に資格情報を保存 | E-05, E-06 | ○ |
| C-06 | 資格情報バージョン管理により古い形式を自動削除 | E-06 | ○ |
| C-07 | セッションIDをGUIDで自動生成・管理 | E-07 | ○ |
| C-08 | AppModel ポリシーによるプロセスアクセス制御 | E-08 | ○ |
| C-09 | Integrity Level ポリシーによるプロセス信頼レベル検証 | E-08 | ○ |
| C-10 | ハンドルベースのアクセス制御で E_ACCESSDENIED を返却 | E-09 | ○ |
| C-11 | 全 Azure 通信に HTTPS（ポート443）を強制使用 | E-10 | ○ |
| C-12 | WebSocket Secure（WSS）でターミナルセッション通信 | E-11 | ○ |
| C-13 | TLS は WinHTTP ライブラリの OS デフォルト設定（TLS 1.2 以上）に依存 | **根拠なし** | △ |
| C-14 | コマンドライン引数のエスケープ処理を実装 | E-12 | ○ |
| C-15 | テナント選択時のインデックス範囲検証 | E-13 | ○ |
| C-16 | JSON パース時のキー存在チェック | E-14 | ○ |
| C-17 | デスクトップアプリのため XSS リスクは該当しない | E-22 | ○ |
| C-18 | データベース未使用のため SQLインジェクション対策は不要 | E-01〜E-22（DB関連コード不検出） | ○ |
| C-19 | Device Code Flow のため CSRF リスクは設計上緩和 | E-01 | ○ |
| C-20 | TraceLogging（ETW）でアプリケーションイベントを記録 | E-15 | ○ |
| C-21 | WIL の例外ログマクロで捕捉例外を記録 | E-16 | ○ |
| C-22 | ETW ログ保持期間は OS の設定に準拠 | **根拠なし** | △ |
| C-23 | SDDL による Mandatory Integrity Label でファイルアクセスを保護 | E-17, E-18 | ○ |
| C-24 | トークンのメモリ上の明示的ワイプは未実装 | **根拠なし** | △ |
| C-25 | SSH接続はシステムの OpenSSH クライアントに委譲 | E-20 | ○ |

## 4) 不足情報（Unknown / Missing）
- **C-13（TLS バージョン）**: WinHTTP のデフォルト TLS バージョンは OS バージョンにより異なる。コード内に明示的な `WINHTTP_OPTION_SECURE_PROTOCOLS` 設定が見当たらず、実際の TLS バージョンは実行環境依存
  - 候補: WinHTTP ドキュメント / Windows バージョン別 TLS デフォルト設定表 / グループポリシー設定
- **C-22（ETW ログ保持期間）**: ETW のログ保持はセッション設定やイベントログチャネルの構成に依存する。アプリケーション側での明示的な保持期間設定は確認できず
  - 候補: ETW セッション設定 / Windows イベントログの保持ポリシー設定
- **C-24（トークンメモリワイプ）**: `winrt::hstring` はスコープ外で自動破棄されるが、メモリ上のトークン値がゼロクリアされるかは WinRT の内部実装に依存。セキュリティクリティカルなシナリオでは `SecureZeroMemory` 等の明示的ワイプが推奨される
  - 候補: WinRT hstring メモリ管理仕様 / セキュアコーディングガイドライン

## 5) リスクフラグ（レビュー観点）
- **1（中リスク）**: C-13 — TLS バージョンが OS デフォルトに依存しており、古い Windows バージョンでは TLS 1.0/1.1 が使用される可能性がある
- **1（中リスク）**: C-24 — トークンのメモリワイプ未実装により、メモリダンプ等からトークンが漏洩するリスクがある
- **0（低リスク）**: C-22 — ETW ログ保持期間は運用設計の範疇であり、アプリケーション設計への影響は限定的

## 6) レビュアーチェックリスト（最小）
- [ ] Azure Device Code Flow の実装が OAuth 2.0 仕様に準拠しているか確認
- [ ] PasswordVault に保存される資格情報の形式とバージョン管理が適切か確認
- [ ] HTTPS 通信時の TLS バージョン要件が運用環境の要件を満たすか確認
- [ ] SDDL によるファイル保護が管理者権限での実行時に正しく適用されるか確認
- [ ] トークンのメモリ管理について、セキュリティ要件に照らしてリスク許容可否を判断
- [ ] 依存ライブラリ（vcpkg.json）に既知の脆弱性がないか確認
