平成31年度 春期 午前Ⅱ 問10

✓ これが正解エWeb ブラウザからのリクエストを Web サーバで受け付けた際に，リクエストに含まれる“<”や“>”などの特殊文字を，タグとして認識されない“&lt;”や“&gt;”などの文字列に置き換える。

解説

特殊文字の置換は XSS の対策で、CSRF には効果がありません。

クロスサイトリクエストフォージェリは、罠のページなどから、利用者の意図しないリクエストを Web サーバへ送らせる攻撃です。対策の考え方は、届いたリクエストが正規の画面から利用者の意思で送られたものかを確かめることです。一方、リクエストに含まれる特殊文字を、タグとして解釈されない文字列に置き換える処理は、クロスサイトスクリプティングの対策です。この処理ではリクエストの出どころを判別できないので、効果がないものに当たります。

ほかの選択肢はなぜ違うのか

• アWeb サイトでの決済などの重要な操作の…：決済などの重要な操作のたびにパスワードを入力させれば、パスワードを知らない攻撃者は正規の操作を装ったリクエストを完成させられません。利用者の意思を確かめる手段になり、CSRF の対策として効果があります。
• イWeb サイトへのログイン後，毎回異なる…：ログイン後に毎回異なる値をレスポンスに含め、リクエストごとに照合する方法です。罠のページを作る攻撃者はその値を知ることができないので、偽のリクエストを見分けられます。代表的な対策であり効果があります。
• ウWeb ブラウザからのリクエスト中の R…：Referer を見て正しいリンク元からの遷移かを確かめれば、外部の罠のページから送られたリクエストを見分けられます。環境によってはヘッダが送られない弱点もありますが、対策の一つとして効果があります。