応用情報技術者試験 応用情報技術者試験 令和3年度春期 午前 問37: Webサイトにおいて，クリックジャッキング攻撃の対策に該当するものはどれか。

正解

イ. HTTPレスポンスヘッダにX-Frame-Optionsを設定する。

正答率 47.3%（1,153人中 545人が正解）

問題の解説

クリックジャッキングは，攻撃者のページに正規サイトを透明なフレーム(iframe)として重ね，利用者に気づかせないまま意図しないボタンを押させる攻撃である。対策の中心は，自サイトを他サイトのフレーム内に表示させないことで，HTTPレスポンスヘッダのX-Frame-Optionsを設定してフレーム埋め込みを禁止すればよい。よってイが正解。

選択肢ごとの解説

• アX-Content-Type-OptionsはコンテンツのMIMEタイプ推測(スニッフィング)を抑止するヘッダで，フレーム重ねを防ぐクリックジャッキング対策ではない。
• イX-Frame-Optionsで自サイトを他サイトのフレームに埋め込ませないようにするのがクリックジャッキングの対策であり，正しい。
• ウ入力中のHTMLタグを無害な文字列に置き換える(エスケープ)のはクロスサイトスクリプティング(XSS)対策である。
• エ入力文字数を制限するのはバッファオーバフロー等への対策であり，クリックジャッキングには直接効果がない。