SC情報処理安全確保支援士試験午後Ⅰ

平成28年度春期情報処理安全確保支援士午後Ⅰ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

JVNを見ると，XSS（クロスサイトスクリプティング）脆ぜい弱性が後を絶たない。その上，XSS脆弱性について，利用者が入力したスクリプトが動くだけだから，又は単にダイアログボックスが表示される程度の問題だから，悪用のおそれは低いとの誤解も多く見られる。本問では，懸賞システムの開発を題材に，XSS脆弱性が引き起こす被害の重大性への理解について問うとともに，XSS脆弱性を作り込まないための対策を立案する能力を問う。さらに，CSRF（クロスサイトリクエストフォージェリ）脆弱性への対策を立案する能力を問う。

解き方のヒントを見る

問01：画面の入力だけを信じず、サーバ側でしっかり守ろう

この問題のポイントは、「利用者が画面で入力するだけだから大丈夫」と軽く見ないことだよ。たとえば、お店の注文フォームでボタンを押す以外にも、裏口から直接注文番号を指定されたり、別のサイトから勝手に注文リクエストを送られたりすることがある。だから、画面の動きだけに頼らず、サーバ側で状態や正しい手順を管理する必要があるんだ。

この問題で問われていること

XSS は「画面に悪いスクリプトを混ぜ込まれる攻撃」、CSRF は「本人が意図しないリクエストを別サイトから送らされる攻撃」だよ。別物として区別しつつ、同じ画面遷移や処理の流れの中で、それぞれをちゃんと防げる設計になっているかを見よう。

XSS and CSRF Flow Control

protecting against XSS and CSRF requires understanding the logged-in abuse condition、 using random hidden values、 and blocking direct access that skips intended screens

assume logged-in victim state\nembed random hidden token\nblock direct screen access\nvalidate state on server side

確認ポイント

XSS を軽い問題と見なさない。
トークン値はサーバ側で管理する。
画面遷移を飛ばすアクセスを許さない。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000gn5o-att/2016h28h_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000gn5o-att/2016h28h_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000gn5o-att/2016h28h_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成28年度春期情報処理安全確保支援士試験午後Ⅰ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

平成28年度春期 情報処理安全確保支援士 午後Ⅰ 問1

問題