令和6年度 秋期 情報処理安全確保支援士 午前II 問14

各選択肢の解説

ア

cookieに, HttpOnly 属性を設定する。

誤りです。HttpOnly属性は、JavaScriptのdocument.cookieなどからcookieを読み取れないようにする設定で、XSSによるセッションcookieの窃取を防ぎます。正規ページを透明なフレームで重ねてクリックさせるクリックジャッキングは防げません。

イ

cookieに、 Secure 属性を設定する。

誤りです。Secure属性は、HTTPS通信のときだけcookieを送信させる設定で、平文HTTPでの盗聴によるcookieの漏えいを防ぎます。ページがフレーム内に埋め込まれること自体は制御しないため、クリックジャッキングの対策にはなりません。

ウ

HTTP レスポンスヘッダーに、 Strict-Transport-Security を設定する。

誤りです。Strict-Transport-Security（HSTS）は、以後そのドメインへはHTTPSでのみ接続するようブラウザに指示するヘッダーで、HTTPへのダウングレードや中間者攻撃を防ぎます。フレームへの埋め込みは制限しないため、クリックジャッキングは防げません。

エ

HTTP レスポンスヘッダーに, X-Frame-Options を設定する。

正しいです。X-Frame-OptionsにDENYやSAMEORIGINを指定すると、ブラウザは他サイトのiframeなどのフレーム内でそのページを表示しなくなります。攻撃者のページが正規ページを透明なフレームで重ねて表示できなくなるため、クリックジャッキングの対策として有効です。