情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成31年度春期 午前Ⅱ 問10: クロスサイトリクエストフォージェリ攻撃の対策として，効果がないものはどれか。

正解

エ. Web ブラウザからのリクエストを Web サーバで受け付けた際に，リクエストに含まれる“<”や“”などの特殊文字を，タグとして認識されない“&lt;”や“&gt;”などの文字列に置き換える。

問題の解説

CSRFは、ログイン済み利用者のブラウザに意図しないリクエストを送らせ、本人の権限で不正操作させる攻撃。対策は正規遷移の確認で、トークン照合・再認証・Referer確認が有効。エの特殊文字エスケープはXSS(クロスサイトスクリプティング)対策でありCSRFには効果がないため、効果がないものはエ。実務ではCSRFトークンの実装が定番の防御策。

選択肢ごとの解説

• ア重要操作時に都度パスワードを再入力させると攻撃者の自動リクエストを防げるためCSRF対策として有効。
• イ毎回異なる値(トークン)を発行しサーバで照合するのは典型的なCSRF対策で有効。
• ウRefererで正しいリンク元からの遷移かを確認するのはCSRF対策として有効。
• エ特殊文字のエスケープはXSS対策でありCSRFには効果がないため、これが正解(効果がないもの)。