令和6年度 秋期 午前Ⅱ 問14

✓ これが正解エHTTP レスポンスヘッダーに，X-Frame-Options を設定する。

解説

他サイトの枠内への表示を禁じる X-Frame-Options が有効です。

クリックジャッキングは、正規の Web ページを攻撃者のページの上に透明な枠として重ねて表示し、利用者に気付かれないまま意図しないボタンをクリックさせる攻撃です。攻撃が成り立つ前提は、正規のページが他のサイトの frame や iframe の中に表示できることです。そこで HTTP レスポンスヘッダーに X-Frame-Options を設定し、自分のページを他サイトの枠内に表示させないようにすれば、この前提を崩せます。選択肢の対策は、どれも Web のセキュリティ対策として正しいものですが、防ぐ相手が違います。どの攻撃を防ぐ設定なのかを軸に選びます。

ほかの選択肢はなぜ違うのか

• アcookie に，HttpOnly 属性…：HttpOnly 属性は、JavaScript などのスクリプトから cookie を読み取れないようにする設定です。クロスサイトスクリプティングによる cookie の盗み出しへの対策であり、枠内への表示は防げません。
• イcookie に，Secure 属性を設…：Secure 属性は、HTTPS で通信するときだけ cookie を送るようにする設定です。通信の盗聴で cookie が漏れるのを防ぐためのものであり、ページを透明に重ねる手口には効果がありません。
• ウHTTP レスポンスヘッダーに，Stri…：Strict-Transport-Security は、以後の接続で HTTPS を使うようブラウザに求める設定です。暗号化されない通信への切り替えや盗聴への対策であり、他サイトの枠内への表示を止める働きはありません。