SC情報処理安全確保支援士試験午後Ⅰ

平成23年度秋期情報処理安全確保支援士午後Ⅰ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

Webアプリケーションの脆弱性対策の基本的な考え方は，プログラム言語にかかわらず共通であると言える。しかしながら，セキュアなプログラミングを実践するためには，使用している言語の特性を理解した上でその特性に合った対応をとる必要がある。本問では，二つのプログラム言語の比較を通して，それぞれのプログラム言語の特性に合った脆弱性対策を正しく認識しているかを問う。

解き方のヒントを見る

問01：安全なプログラム作りは「共通ルール」と「言語ごとのクセ」の両方を見よう

セキュアプログラミングは、どの言語でも大事な基本ルールだけ守ればOK、という話ではないよ。たとえば家の防犯でも、玄関の鍵を閉めるのは共通だけど、窓が多い家なら窓対策も必要だよね。Java系ならSQLを安全に扱うためにPreparedStatementを使ったり、必要に応じてエスケープしたりすることが大事。C系ならポインタの扱いや、バッファオーバフローのようなメモリまわりの危険に注意して対策を選ぼう。

この問題で問われていること

この問題では、どの言語にも共通するセキュリティの考え方と、Java系・C系のように言語ごとに特に注意すべき危険ポイントを、きちんと分けて理解できるかが問われているよ。

Language-Aware Secure Coding

secure programming requires both common principles like placeholders and escaping、 and language-specific awareness such as pointer-based buffer overflow risk

use placeholders for SQL\nescape HTML special characters\npointers enable buffer overflow risk\ngarbage collection changes risk profile

確認ポイント

SQL はプレースホルダで分離する。
HTML はエスケープする。
言語特性による危険差を意識する。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000003ojp-att/2011h23a_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000003ojp-att/2011h23a_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000003ojp-att/2011h23a_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成23年度秋期情報処理安全確保支援士試験午後Ⅰ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

平成23年度秋期 情報処理安全確保支援士 午後Ⅰ 問1

問題