クロスサイトリクエストフォージェリ攻撃の対策として,効果がないものはどれか。

選択肢

• アWebサイトでの決済などの重要な操作の都度,利用者のパスワードを入力させる。
• イWebサイトへのログイン後,HTTPレスポンスボディに含めた秘密の値と,Webブラウザから送付される値とを,Webサーバ側で照合する。
• ウWebブラウザからのリクエスト中のRefererによって正しいリンク元からの遷移であることを確認する。
• エWebブラウザからのリクエストを Webサーバで受け付けた際に,リクエストに含まれる“<”,“>”などの特殊文字を,“&lt;”,“&gt;”などの文字列に置き換える。

正解と解説

正解：エ Webブラウザからのリクエストを Webサーバで受け付けた際に,リクエストに含まれる“<”,“>”などの特殊文字を,“&lt;”,“&gt;”などの文字列に置き換える。

CSRFは、ログイン済み利用者のブラウザを使って意図しない要求を送らせる攻撃なので、対策の要はその要求が正規の画面から意図して発せられたかを確かめる点にある。予測できないトークンをページに埋め込んで照合する、重要操作でパスワードを再入力させる、遷移元を確認するといった方法が有効である。特殊文字のエスケープは出力時にスクリプトを実行させないための措置で、正しい形式のまま送られるCSRFの要求には効果がない。

選択肢ごとの解説

• ア攻撃者は利用者のパスワードを知らないため、重要操作の都度求めれば処理を完了させられない。
• イ秘密の値を照合するトークン方式であり、CSRF対策の基本である。
• ウ遷移元の確認は補助的ではあるが、正規画面からの遷移かを判定でき効果はある。
• エ正解。クロスサイトスクリプティングの出力対策であり、CSRFには効かない。

この問題に出た用語

• クロスサイトスクリプティング
• クロスサイトリクエストフォージェリ

同じ分野の他の問題

• クリックジャッキング攻撃に有効な対策はどれか。2022年度 秋期 午前Ⅱ 問11
• WAFにおけるフォールスポジティブに該当するものはどれか。2024年度 秋期 午前Ⅱ 問12
• Webサーバから送信されるHTTPヘッダーのうち、Webサーバからの応答の内容を、Webブラウザやプロキシサーバなどのキ…2024年度 春期 午前Ⅱ 問20
• HTTP Strict Transport Security(HSTS)の動作はどれか。2024年度 春期 午前Ⅱ 問13
• クロスサイトリクエストフォージェリ攻撃の対策として、効果がないものはどれか。2024年度 春期 午前Ⅱ 問1