SC情報処理安全確保支援士試験午後Ⅰ

平成31年度春期情報処理安全確保支援士午後Ⅰ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

Webサービスには，Webブラウザから利用するものだけでなく，サービスの機能の一部をプログラムからWeb APIとして利用するものもある。あるWebサイトから読み込まれたスクリプトが異なるオリジンのWeb APIにアクセスする場合，Same-Originポリシによって制限される。CORS（Cross-Origin Resource Sharing）を利用すれば制限を回避することができるが，セキュリティを考慮して実装する必要がある。本問では，小売業が運営しているWebサイトでの情報連携を題材に，Web APIを設計する能力を問う。

解き方のヒントを見る

問01：CORSは「誰にAPIの入口を開けるか」を決める仕組みだよ

CORSは、ブラウザのSame-Originポリシという“よそのサイトから勝手に使わせないための門番ルール”を、必要な相手だけに少し開ける仕組みだよ。ここで大事なのは、ログインできるかどうかではなく、「どのオリジンの申込ページからならAPIを使ってよいか」をきちんと決めること。だから、申込ページのオリジンを基準にしてOriginヘッダの値を確認し、許可リストに載っている相手だけ通す構成にしよう。

この問題で問われていること

CORSを“制限を回避する裏技”として見るのではなく、“APIを使ってよい相手の境界線を正確に決める仕組み”として設計できるかが問われているよ。

CORS as an Explicit Origin-Allow Decision

secure CORS design begins by identifying the exact allowed origin、 then comparing the Origin header with an allowlist before permitting API access

same-origin blocks by default\nCORS opens only selected origins\ncheck Origin header value\nmatch against explicit allowlist

確認ポイント

許可対象オリジンを具体化する。
Origin ヘッダ確認を入れる。
CORS を無制限公開にしない。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000ddiw-att/2019h31h_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000ddiw-att/2019h31h_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000ddiw-att/2019h31h_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成31年度春期情報処理安全確保支援士試験午後Ⅰ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

平成31年度春期 情報処理安全確保支援士 午後Ⅰ 問1

問題