はじめに — ツールが、原理的に見つけられない領域

「この商品の値段は 1,000円です」——この事実を、誰が知っているべきか。答えはサーバです。でも、実装によっては、クライアント(ブラウザ)から送られてきた値段をそのまま信じることがあります。
スキャナには、その値が「正しい1,000円」なのか「改ざんされた1円」なのかを判定できません。数値として妥当かどうかしか見られない。そのアプリにとって何が“正しい”かを知っているのは、そのアプリを作った人だけ——だから、機械には見つけられません。

「在庫があるか確認する」→「注文を確定する」。この2つの操作の間には、必ず時間の隙間があります。もし、その隙間に別のリクエストが割り込んで、同じ確認をすり抜けたら——在庫が1個しかないのに、2人が「在庫あり」を確認してしまい、2件とも成立してしまう。
この「確認(Time-Of-Check)と実行(Time-Of-Use)の間の隙間」を突く攻撃を TOCTOU(Time-Of-Check to Time-Of-Use)、広くは競合状態(race condition)と呼びます。スキャナは1つずつ順番にリクエストを送るのが基本で、意図的に同時に送るという発想自体、機械的な検査には向きません。

「値段は改ざんされない」「在庫は1個ずつ正しく減る」——こうしたそのアプリが暗黙に前提としている当たり前が崩れる。パターンマッチでは見つからず、そのアプリの仕様を理解した人間だけが「ここ、本当に大丈夫?」と疑える。診断で最も高度な領域の一つとされるのは、このためです。