令和6年度春期 情報処理安全確保支援士 午前Ⅱ 問1

午前II 問01：CSRF対策とXSS対策を取り違えないようにしよう

CSRF対策で大事なのは、「その操作、本当に本人の画面から来たの？」を確認することだよ。たとえば入場券みたいなトークンをフォームに持たせて照合したり、パスワード変更や送金みたいな重要操作では再ログインを求めたりするのが有効なんだ。一方で、HTML特殊文字のエスケープは、悪意あるスクリプトをページに埋め込まれにくくするための対策で、主にXSS向けだよ。

この問題で問われていること

この問題のポイントは、CSRFとXSSの対策を混同しないことだよ。CSRFは「ログイン中の利用者に、意図しない操作を勝手にさせる攻撃」、XSSは「画面に悪意あるスクリプトを混ぜ込む攻撃」と考えると整理しやすいよ。

CSRF 対策

CSRF は送信元正当性、XSS は出力エスケープが中心になる。

CSRF -> トークン/再認証\nXSS -> エスケープ

確認ポイント

• Referer 確認やワンタイムトークンは CSRF 対策になり得る。
• 特殊文字置換は XSS 対策です。
• 効果がないものとしてエスケープを選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。重要な操作のたびにパスワードを入れさせるのは、窓口で大きな手続をする前にもう一度本人確認するようなもの。CSRFで勝手にボタンを押させられても、攻撃者は利用者のパスワードを知らないので止めやすいんだ。

選択肢イ

これは不正解だよ。毎回違う合い言葉をページに入れて、リクエスト時に照合する仕組みだね。店の整理券が毎回変わるようなもので、外から勝手に同じ手続きをまねしにくくなる。CSRF対策として有効だよ。

選択肢ウ

これは不正解だよ。Refererを見て正しいページから来たか確認するのは、入口で『どの道から来たの？』と確認するようなもの。完璧ではないけれど、怪しい別サイトから飛んできた操作を見つける助けになるので、CSRF対策として一定の効果はあるよ。

選択肢エ（正解）

これは正解だよ。『<』や『>』を別の文字列に置き換えるのは、怪しい紙を掲示板に貼っても命令文として読まれないようにする対策で、主にXSS対策なんだ。CSRFは“ログイン済みの人に勝手に操作させる”攻撃なので、狙っている問題が違うよ。