サニタイジングとは？

サニタイジングの意味

利用者が入力した文字のうち、特別な意味を持つ記号を無害な表現へ置き換えたり、想定した形式かを検査したりする処理。Webアプリの代表的な脆弱性を作り込まないための開発側の対策として問われる。

サニタイジングの具体例

自社の問合せフォームで、氏名欄に記号やスクリプトの断片を入れても、そのまま画面や検索処理へ渡らないようにする。外部へ委託して開発する際は、この処理を行うことを要件定義書と検収の確認項目に明記しておく。

サニタイジングは試験でどう引っ掛けられる？

利用者側で気を付ける運用対策ではなく、作る側の実装で行う対策である。またブラウザ側の入力チェックだけでは不十分で、通信を直接組み立てられると回避される。サーバ側で必ず検査することが要点。

サニタイジングと関連する用語

• クロスサイトスクリプティング（XSS）
• SQLインジェクション
• セキュリティバイデザイン

サニタイジングが出た過去問

• クロスサイトスクリプティングの手口はどれか。

  正解：Webアプリケーションに用意された入力フィールドに、悪意のあるJavaScriptコードを含んだデータを入力する。

  要点：XSSは他人のブラウザで悪意のスクリプトを実行させる

  クロスサイトスクリプティング（XSS）は、利用者の入力をそのままWebページに出力してしまう脆弱性を突き、悪意のあるスクリプトを他の利用者のブラウザ上で実行させる攻撃である。これによりCookieの窃取や偽の入力画面の表示が可能になる。対策は、出力時に「<」などをエスケープするサニタイジングであり、入力を信用せず出力の文脈に応じて無害化することが要点である。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問22（IPA）