情報処理安全確保支援士試験 令和4年度 秋期 午前II 問11

【正解】エ

クリックジャッキングは、攻撃者が正規サイトの画面を透明なiframeなどで自分のページに重ね、利用者に意図しないボタンやリンクをクリックさせる攻撃です。X-Frame-OptionsをHTTPレスポンスヘッダーに設定すると、そのページをフレーム内に表示できるかどうかをブラウザに指示できます。DENYなら全てのフレーム表示を拒否し、SAMEORIGINなら同一オリジンからの表示だけを許可するので、攻撃者のサイトへの埋込みを防止できます。

アのHttpOnly属性は誤りです。これはJavaScriptからcookieを読み取れないようにし、クロスサイトスクリプティングによるcookieの窃取を困難にするための属性です。画面のフレーム表示は制限しません。

イのSecure属性は誤りです。これはHTTPS通信時にだけcookieを送信させ、平文のHTTP通信による漏えいを防ぐための属性です。

ウのStrict-Transport-Securityは誤りです。これはブラウザにHTTPSの使用を強制し、HTTPへのダウングレードなどを防ぐためのヘッダーです。フレームへの埋込みは制御しません。

【ポイント】 クリックジャッキング対策では、ページを第三者のフレーム内に表示させないことが重要です。 現在はCSPのframe-ancestorsディレクティブでも、埋込みを許可するオリジンを細かく指定できます。 X-Frame-Optionsの代表的な値であるDENYとSAMEORIGINを覚えておきましょう。