令和7年度 秋期 情報処理安全確保支援士 午前II 問16

各選択肢の解説

ア

Web サイトでの決済などの重要な操作の都度、利用者のパスワードを入力させる。

誤りです。決済などの重要操作のたびにパスワードを再入力させれば、攻撃者は利用者のパスワードを知らないため、罠ページから自動送信させた偽リクエストは正しいパスワードを含まず処理されません。CSRFに効果がある対策なので、効果がないものには当たりません。

イ

Web サイトへのログイン後、HTTP レスポンスボディに含めた秘密の値と、Web ブラウザから送付される値とを、 Web サーバ側で照合する。

誤りです。ログイン後にレスポンスボディに埋め込んだ秘密の値（トークン）とブラウザから送られた値をサーバで照合する方式は、攻撃者が推測できない値を罠ページで付与できないため、CSRFの代表的な有効対策です。

ウ

Web ブラウザからのリクエスト中の Referer によって正しいリンク元からの遷移であることを確認する。

誤りです。リクエスト中のRefererヘッダを確認し、正規のリンク元ページからの遷移であることを検証すれば、外部の罠サイトから送信されたリクエストを判別して拒否できます。Refererを送らない環境への配慮は要るものの、CSRF対策として効果があります。

エ

Web ブラウザからのリクエストを Web サーバで受け付けた際に、リクエストに含まれる“<”,“>”などの特殊文字を、“&lt;”, “&gt;” などの文字列に置き換える。

正しいです。“<”“>”などを“&lt;”“&gt;”に置き換えるのは、スクリプトの埋込みを防ぐXSS（クロスサイトスクリプティング）対策です。CSRFは正規の形式のリクエストを利用者に意図せず送信させる攻撃であり、特殊文字を置換しても偽リクエストの受付は防げないため、効果がありません。