令和4年度秋期 情報処理安全確保支援士 午前Ⅱ 問11

午前II 問11：クリックジャッキング対策を見分けよう

クリックジャッキングは、攻撃者のサイトに正規の画面を iframe などでこっそり重ねて表示し、利用者に気づかないままボタンをクリックさせる攻撃だよ。たとえるなら、透明なシートの下に本物の申請ボタンを隠しておいて、別のボタンを押したつもりにさせる感じ。これを防ぐには、HTTP レスポンスヘッダに X-Frame-Options を設定して、「この画面は他のサイトの枠の中に埋め込ませないよ」と制限しよう。

この問題で問われていること

この問題では、HttpOnly、Secure、HSTS といった Cookie や HTTPS 関連の対策と、クリックジャッキング対策である X-Frame-Options をきちんと区別できるかがポイントだよ。

クリックジャッキング対策

正規サイトを他サイトの frame 内へ表示できないようにすると、重ね合わせ UI による誘導を防ぎやすい。

X-Frame-Options\n-> frame 埋込みを制限

確認ポイント

• HttpOnly は JavaScript 読出し対策です。
• HSTS は HTTPS 強制であり別目的です。
• X-Frame-Options を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。HttpOnly属性は、JavaScriptからcookieを読めなくする設定だよ。たとえると、店員さんだけが開けられる金庫に合鍵を入れておく感じ。XSSでcookieを盗まれにくくする対策だけど、ページをiframeに埋め込まれてクリックをだまされる攻撃への直接対策ではないんだ。

選択肢イ

これは不正解だよ。Secure属性は、cookieをHTTPSの安全な道だけで運ばせる設定なんだ。たとえると、大事なメモを普通郵便ではなく鍵付き配送で送る感じ。でも、他サイトの透明な額縁に自分のページをはめ込まれてボタンを押させるような攻撃を防ぐ設定ではないよ。

選択肢ウ

これは不正解だよ。Strict-Transport-Security、つまりHSTSは、ブラウザに「このサイトへは必ずHTTPSで来てね」と覚えさせる設定だよ。たとえると、今後は必ず安全な正門から入るように案内する看板みたいなもの。通信の盗み見や改ざん対策にはなるけど、画面を別サイトに埋め込まれる問題を止めるものではないよ。

選択肢エ（正解）

これが正解だよ。X-Frame-Optionsは、自分のページを他のサイトのframeやiframeの中に表示させるかどうかを制限する設定なんだ。たとえると、自分の店の窓口を、よその店の看板の裏に勝手にはめ込まれないようにする鍵だよ。クリックジャッキングのように、利用者をだまして見えないボタンを押させる攻撃を防ぐのに使うよ。