令和6年度秋期 情報処理安全確保支援士 午前Ⅱ 問14

午前II 問14：クリックジャッキング対策は「勝手に額縁へ入れさせない」設定だよ

クリックジャッキングは、自分のページを悪意あるサイトの frame や iframe の中にこっそり埋め込まれて、利用者に意図しないクリックをさせる攻撃だよ。たとえるなら、自分のお店のレジ画面を、よその怪しい看板の裏に勝手にはめ込まれるようなもの。これを防ぐには、HTTPレスポンスヘッダの X-Frame-Options を設定して、「このページは他サイトの枠の中に表示させないでね」とブラウザに伝えよう。

この問題で問われていること

この問題では、Cookie の属性や HSTS と、クリックジャッキング対策を混同しないことがポイントだよ。Cookie 属性は Cookie の扱いを制御するもの、HSTS は HTTPS 接続を強制するもの。クリックジャッキング対策として選ぶべきなのは、ページを frame/iframe に埋め込ませない X-Frame-Options だと押さえよう。

X-Frame-Options

他サイトのフレーム内表示を拒否して UI の重ね合わせ攻撃を防ぐ。

frame 埋込み拒否\n-> クリックジャッキング対策

確認ポイント

• HttpOnly は主に XSS での Cookie 参照抑止です。
• HSTS は HTTPS 強制であり論点が違う。
• X-Frame-Options を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

HttpOnly属性は、JavaScriptからcookieを読めないようにする設定だよ。たとえるなら「合鍵は窓口では見せず、必要なときだけ裏で使う」仕組み。XSSでcookieを盗まれにくくする効果はあるけど、クリックジャッキングのように画面を重ねてクリックをだます攻撃を防ぐものではないので不正解だよ。

選択肢イ

Secure属性は、cookieをHTTPS通信のときだけ送るための設定だよ。たとえるなら「合鍵は暗号化された安全な配達便でだけ送ってね」というルール。通信途中で盗み見されるリスクは下げられるけど、クリックジャッキングのように“透明な画面を重ねて押させる”攻撃を止める仕組みではないので不正解だよ。

選択肢ウ

Strict-Transport-Securityは、ブラウザに「このサイトへは今後HTTPSで来てね」と覚えさせる設定だよ。たとえるなら「このお店へは安全な専用道路だけを使って来てね」という看板。通信を安全にする対策だけど、別サイトの中に自分のページをこっそり埋め込まれる攻撃を防ぐものではないので不正解だよ。

選択肢エ（正解）

X-Frame-Optionsは、ページをiframeなどの枠の中に表示してよいかをブラウザに伝える設定だよ。クリックジャッキングは、悪いサイトが本物の画面を透明なシートみたいに重ねて、利用者に意図しないボタンを押させる攻撃。X-Frame-Optionsで「他のサイトの枠に入れないでね」と言えるので、これが正解だよ。