令和6年度 春期 情報処理安全確保支援士 午前II 問1

各選択肢の解説

ア

Web サイトでの決済などの重要な操作の都度、利用者のパスワードを入力させる。

誤りです。この選択肢は効果のある対策です。決済などの重要な操作のたびにパスワードを再入力させれば、罠サイトから自動送信された偽造リクエストには正しいパスワードが含まれないため処理されません。ログイン済みのセッションだけでは操作が完了しなくなるため、CSRFへの対策として有効です。

イ

Web サイトへのログイン後、毎回異なる値を HTTP レスポンスボディに含め、Web ブラウザからのリクエストごとに送付されるその値を, Web サーバ側で照合する。

誤りです。この選択肢は効果のある対策です。ログイン後に予測困難なトークンをレスポンスに埋め込み、リクエストごとにサーバ側で照合すれば、トークンを知らない罠サイトからの偽造リクエストを拒否できます。同一オリジンポリシーにより、攻撃者は他サイトのレスポンスからトークンを読み取れません。

ウ

Web ブラウザからのリクエスト中の Referer によって正しいリンク元からの遷移であることを確認する。

誤りです。この選択肢は効果のある対策です。Refererヘッダでリクエストが自サイトの正しいページから遷移してきたものかを確認すれば、外部の罠サイトから送られたリクエストを判別して拒否できます。Refererを送らない環境への配慮は必要ですが、CSRF対策として効果があります。

エ

Web ブラウザからのリクエストをWeb サーバで受け付けた際に、リクエストに含まれる“<”, “>”などの特殊文字を, "&lt;”, “&gt;”などの文字列に置き換える。

正しいです。「<」「>」を「&lt;」「&gt;」に置き換えるのはXSS対策で、本来は出力時に表示先の文脈に応じて行う処理です。CSRFは特殊文字の有無とは関係なく、利用者のブラウザから正規の形式のリクエストを送らせる攻撃です。置換しても本人が意図した操作かどうかは判別できないため、対策として効果がありません。