令和7年度秋期 情報処理安全確保支援士 午前Ⅱ 問16

犯人の罠サイトから「勝手に送信される命令」を防ぐには？

CSRF（クロスサイトリクエストフォージェリ）は、利用者を罠サイトに誘導し、利用者のブラウザから本物のサイトへ勝手に「パスワード変更」などの命令を送らせる攻撃。対策は、正規の画面から発行した使い捨てトークンなどを確認して「正しい手続きか」を確かめることだよ。

この問題で問われていること

ブラウザ上で悪意あるプログラムを動かすXSSへの対策（文字のエスケープなど）と、勝手にリクエストを送信させるCSRFへの対策（ワンタイムトークンなど）を混ぜずに整理しよう。

CSRF と XSS の違い

CSRF 対策にはワンタイムトークン、再認証、Origin/Referer 確認が使われる。特殊文字のエスケープは、主にブラウザ上でのスクリプト実行を防ぐ XSS 対策。

CSRF: 偽画面 -> 正規サイトへ勝手送信
対策: token / 再認証 / 送信元確認
XSS: 出力エスケープ

確認ポイント

• 利用者の操作都度の再確認や秘密値照合は、正規遷移確認として自然かを見る。
• Referer や Origin は送信元検証の材料になる。
• 特殊文字置換が出てきたら、何を防いでいる対策かをもう一段考える。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。重要操作のたびにパスワードを入れさせると、本人確認としては強くなるけど、CSRF対策の基本そのものではないんだ。たとえるなら、毎回身分証を見せてもらう方法で、なりすまし手続きは防ぎやすくなるけど、Webページに仕込まれた勝手なリクエストを見分ける仕組みとは少し違うよ。

選択肢イ

これは正解だよ。サーバが秘密の合言葉をページに入れておき、ブラウザから戻ってきた値と照合する方法だね。泥棒が勝手に申請書だけ送ってきても、その場で渡された合言葉を知らなければ通れない、というイメージだよ。これはCSRFトークンを使った代表的なCSRF対策なんだ。

選択肢ウ

これは不正解だよ。Refererで『どのページから来たか』を見るのは、受付で来店経路を聞くようなものだけど、空欄だったり、環境によって送られなかったりすることがあるんだ。補助的には使えるけど、これだけを頼りにすると不安定だから、確実なCSRF対策とは言いにくいよ。

選択肢エ（正解）

これは不正解だよ。入力に含まれる「<」や「>」みたいな文字を別の形に置き換えるのは、主にXSS対策なんだ。たとえるなら、危ない言葉を掲示板にそのまま貼られないようにする対策であって、本人になりすまして勝手に手続きされるCSRFを防ぐ本命の方法ではないよ。