令和3年度 春期 応用情報技術者試験 午前 問37
テクノロジセキュリティ技術Webアプリケーション・ソフトウェアの脆弱性
Webサイトにおいて，クリックジャッキング攻撃の対策に該当するものはどれか。
解答・解説
正解: イ. HTTPレスポンスヘッダにX-Frame-Optionsを設定する。
クリックジャッキング攻撃とは、悪意のあるWebサイト上に透明なiframe（インラインフレーム）を重ねて配置し、ユーザーが気付かないうちに別のWebサイト上のボタンなどをクリックさせる攻撃手法です。
この攻撃を防ぐためには、自身のWebサイトが他のサイトの iframe 内で表示（フレーム化）されることを制限する必要があります。その対策として有効なのが、HTTPレスポンスヘッダへの X-Frame-Options の設定です。これを設定することで、ブラウザに対して該当ページをフレーム内に表示させるかどうかを指示でき、クリックジャッキング攻撃を防止できます。
したがって、正解は「イ」となります。
各選択肢の解説
- ア: HTTPレスポンスヘッダに
X-Content-Type-Optionsを設定する。- ブラウザがファイルの内容からMIMEタイプを推測する機能を無効化する設定であり、MIMEスニッフィング攻撃を防ぐための対策です。
- イ: HTTPレスポンスヘッダに
X-Frame-Optionsを設定する。- 正解です。 クリックジャッキング攻撃の対策に該当します。
- ウ: 入力にHTMLタグが含まれていたら，HTMLタグとして解釈されないほかの文字列に置き換える。
- 入力値のサニタイジング（エスケープ処理）と呼ばれるもので、クロスサイトスクリプティング（XSS）攻撃などを防ぐための対策です。
- エ: 入力文字数が制限を超えているときは受け付けない。
- 許容量を超えるデータによる異常終了や任意コードの実行を狙う、バッファオーバーフロー攻撃などを防ぐための対策です。