応用情報技術者試験 応用情報技術者試験 令和3年度春期 午前 問37: Webサイトにおいて，クリックジャッキング攻撃の対策に該当するものはどれか。

正解

イ. HTTPレスポンスヘッダにX-Frame-Optionsを設定する。

正答率 47.3%（1,161人中 549人が正解）

問題の解説

クリックジャッキングは、攻撃者が透明にした正規サイトのページを iframe などで罠のページに重ね、利用者に意図しないクリックをさせる攻撃である。HTTP レスポンスヘッダに X-Frame-Options を設定すると、ブラウザが他のサイトのフレーム内での表示を制限するので、この重ね合わせを防げる。

選択肢ごとの解説

• アX-Content-Type-Options は、ブラウザによる Content-Type の推測（MIME スニッフィング）を禁止し、意図しない種類のコンテンツとして実行されることを防ぐヘッダである。
• イ正しい。他のサイトのフレーム内にページが表示されるのを制限でき、透明なフレームを重ねるクリックジャッキングを防げる。
• ウHTML タグを無害な文字列に置き換えるのは、エスケープ処理であり、クロスサイトスクリプティングの対策である。
• エ入力文字数の制限は、バッファオーバフローなどの対策にはなるが、クリックジャッキングは入力値に依存しない攻撃なので防げない。