平成24年度春期 情報処理安全確保支援士 午前Ⅱ 問1

クリックジャッキングは「見えているボタンの裏で別のボタンを押させる」攻撃だよ

クリックジャッキングは、利用者が見ている普通のボタンの上に、透明な別サイトの画面をこっそり重ねる攻撃だよ。たとえば、見た目は「再生ボタン」を押したつもりなのに、実際には透明なフレーム内の「購入」や「設定変更」ボタンを押してしまう、というイメージだね。

この問題で問われていること

ポイントは、XSSのようにスクリプトを埋め込む攻撃でも、CSRFのように勝手にリクエストを送らせる攻撃でもなく、「画面を重ねて、利用者自身に気付かれないままクリックさせる攻撃」だと見分けることだよ。

Clickjacking

clickjacking overlays a transparent page so the user unknowingly clicks controls on another page

transparent overlay\nmislead user click\nexecute unintended action

確認ポイント

• 透明な重ね合わせに注目する。
• 利用者のクリックをだます。
• CSRF と混同しない。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これはHTTPレスポンス分割の説明だよ。窓口から返ってくる書類を途中で二つに割らせて、偽物の書類を混ぜるような攻撃なんだ。ブラウザ上で見えないボタンを押させる攻撃ではないので、間違いだよ。

選択肢イ（正解）

これはクリックジャッキングの説明なので正解だよ。たとえば、普通のボタンの上に透明な別サイトのボタンを重ねておき、利用者が普通に押したつもりでも、実は別サイトで購入や設定変更をさせられるようなものなんだ。見えない紙を上に重ねて、知らないうちに別の申込書へハンコを押させるイメージだよ。

選択肢ウ

これはタブナビングの説明だよ。開きっぱなしの別タブを、留守中の机の上の書類をこっそり偽物に差し替えるように、偽ログイン画面へ変える攻撃なんだ。透明なページを重ねてクリックさせる話ではないので、この問題の正解ではないよ。

選択肢エ

これはブラウザの設定を勝手に変えて情報を盗むタイプの説明だよ。家の鍵そのものではなく、玄関の向きや郵便受けの転送先を勝手に変えられるイメージだね。クリックをだまして別サイト上の操作に使わせる話ではないので、正解ではないよ。