SC情報処理安全確保支援士試験午後Ⅰ

平成29年度秋期情報処理安全確保支援士午後Ⅰ 問2

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

クロスサイトスクリプティングとSQLインジェクションの脆ぜい弱性は，現在でも数多く報告されている。また，オープンリダイレクタの問題は，情報漏えいの被害には直接つながらないものの，Webアプリケーションを設計・構築する上で重要なトピックである。本問では，Java／Servletを用いたWebアプリケーションのセキュアプログラミングを題材に，脆弱性への対処方法について開発者の観点で確認する。また，Webアプリケーションでの通信をTLSとする際に気を付けるべき，Secure属性とHttpOnly属性についても取り上げている。

解き方のヒントを見る

問02：URLやCookieの守りを先回りして考えよう

この問題のポイントは、URLに含まれるFQDNをきちんと制限すること、入力された値がどのコードを通って出力されるのかを追いかけること、そして本番公開前から攻撃者が狙ってくる前提で対策しておくことだよ。家の鍵をかけるだけでなく、窓や裏口まで確認するイメージで考えよう。

この問題で問われていること

セキュアプログラミングを「入力チェックだけやればOK」と考えず、ログイン後の画面遷移やCookieの属性設定まで含めて安全に設計できるかが問われているよ。

Secure Java Web Programming

secure Java web applications need separate handling for XSS、 SQL injection、 and open redirect issues、 plus correct use of Secure and HttpOnly cookie attributes

check code paths for XSS and SQLi\nrestrict redirect destinations to allowed FQDNs\nset Secure and HttpOnly appropriately

確認ポイント

脆弱性を一つの対策でまとめて済ませない。
リダイレクト先の URL 制限を入れる。
Cookie 属性の意味を取り違えない。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fqpm-att/2017h29a_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fqpm-att/2017h29a_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fqpm-att/2017h29a_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成29年度秋期情報処理安全確保支援士試験午後Ⅰ 問2（公式資料：問題冊子（PDF）／解答例／採点講評）

平成29年度秋期 情報処理安全確保支援士 午後Ⅰ 問2

問題