平成30年度秋期 情報処理安全確保支援士 午前Ⅰ 問13

午前I 問13：危ない入力は“ただの文字”として表示しよう

エスケープ処理は、入力された `<script>` などの文字をブラウザに命令として実行させず、「これは文字ですよ」と扱わせるための対策だよ。たとえば、紙に『火をつけろ』と書いてあっても本当に火をつけないように、危険な文字列をそのまま命令として読ませないのがポイントだよ。

この問題で問われていること

この問題では、OSのパッチ適用や入力サイズの制限ではなく、画面に表示するときに出力エスケープをすることが重要だと分かるかが問われているよ。特にXSS対策では、入力された内容をブラウザに実行させず、安全な文字列として表示する発想を押さえよう。

XSS Mitigation

escape output so user input is not interpreted as HTML or script

output escaping\nno HTML/script interpretation

確認ポイント

• SNMP 常駐は XSS 対策ではありません。
• 単なる入力サイズ制限でもない。
• 出力時の無害化を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。SNMPエージェントはサーバの状態を監視するための仕組みで、XSSのようにWebページ上で悪いスクリプトを実行させる攻撃を直接防ぐものではないんだ。建物の電気メーターを見張っていても、受付で危険なメモを読み上げる問題は防げない、という感じだよ。

選択肢イ

これは不正解だよ。OSにセキュリティパッチを当てるのはとても大事だけれど、XSSは主にWebアプリが入力内容を安全に表示していないことが原因なんだ。家の土台を補強するのは大切だけど、窓口で渡された危ないメモをそのまま掲示してしまう問題は、別に対策しないといけないよ。

選択肢ウ（正解）

これは正解だよ。XSSは、入力欄にまぎれ込ませた悪いスクリプトを、ブラウザに“本物のHTMLやJavaScript”として実行させる攻撃なんだ。たとえば、受付で渡されたメモをそのまま館内放送してしまうようなものだね。そこで、入力された文字をHTMLタグとして扱わず、ただの文字として表示するように処理すれば、悪い命令として動かなくなるよ。

選択肢エ

これは不正解だよ。大きすぎる入力を禁止するのは、容量オーバーやバッファオーバーフローのような問題には役立つことがあるけれど、XSSの本質的な対策ではないんだ。泥棒が大きな荷物を持っているかだけを見るようなもので、小さな紙に危険な命令が書かれていたら見逃してしまうよ。