平成31年度春期 情報処理安全確保支援士 午前Ⅱ 問10

午前II 問10：CSRF対策を見分けよう

CSRFは、ログイン中の利用者をだまして、その人の権限で勝手にリクエストを送らせる攻撃だよ。たとえるなら、本人の会員証を持っている状態を悪用して、知らないうちに注文ボタンを押させるようなイメージ。対策としては、画面ごとに合言葉のようなトークンを付けて確認したり、重要操作の前にもう一度パスワード入力などで再認証したりするのが有効だよ。

この問題で問われていること

この問題では、XSS対策とCSRF対策をごちゃ混ぜにしないことがポイントだよ。XSSはサイトに悪いスクリプトを埋め込まれる攻撃、CSRFは利用者のログイン状態や権限を悪用して別サイトから操作させる攻撃、と切り分けて考えよう。

CSRF vs XSS Countermeasures

escaping HTML special characters mitigates XSS、 not CSRF; CSRF requires measures like tokens or request origin validation

CSRF -> token/origin check\nXSS -> escaping

確認ポイント

• エスケープは XSS 向けです。
• CSRF にはトークン確認が有効です。
• 攻撃種別ごとに対策を分ける。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。重要な操作のたびにパスワードを再入力させるのは、CSRF対策として有効なんだ。たとえるなら、決済や住所変更の直前にもう一度本人確認をする窓口みたいなものだよ。攻撃者が勝手にボタンを押させても、利用者のパスワードまでは入力できないので処理を止められるよ。

選択肢イ

これは不正解だよ。毎回違う秘密の値を渡してサーバ側で照合するのは、CSRF対策として有効なんだ。たとえるなら、窓口で手続きするたびに『今日だけの整理券』を見せてもらう感じだよ。攻撃者はその整理券を知らないので、本人のふりをした勝手な依頼を通しにくくなるよ。

選択肢ウ

これは不正解だよ。Refererで『どのページから来たか』を確認する方法は、CSRF対策として一定の効果があるんだ。たとえるなら、窓口で『正規の入口から来た人かな？』と確認する感じだよ。ただしRefererは送られない場合や環境差もあるので、万能な鍵ではなく補助的な確認と考えよう。

選択肢エ（正解）

これは正解だよ。この問題は『CSRF対策として効果がないもの』を選ぶ問題なんだ。『<』や『>』を『&lt;』『&gt;』に置き換えるのは、画面に悪いスクリプトを埋め込ませないためのXSS対策だよ。たとえるなら、泥棒に勝手に注文書を出されるCSRFを防ぎたいのに、掲示板の落書きを安全な文字に直している感じ。守っている場所が違うんだ。