令和3年度 春期 午前 問37

✓ これが正解イHTTP レスポンスヘッダに X-Frame-Options を設定する。

解説

他のサイトの枠に取り込ませない指定が効きます。

設問は、四通りの対策の中から、クリックジャッキング攻撃に効くものを選ばせています。ですから見分けの軸は、その対策がどの攻撃の成り立ちを崩すか、という一点だけです。この攻撃は、利用者に見えている画面の上へ、狙った側のページを透明にして重ねておき、押したつもりのものとは違う場所を押させるものです。重ねるには、攻撃者が用意したページの中へ、狙った側のページを枠として取り込む必要があります。ですから、自分のページを他のサイトの枠に取り込ませないという指示をレスポンスヘッダに付ければ、重ねること自体ができなくなります。選ぶべきなのは HTTP レスポンスヘッダに X-Frame-Options を設定するという対策です。

ほかの選択肢はなぜ違うのか

• アHTTP レスポンスヘッダに X-Con…：内容の種類を受け取った側が勝手に推測して解釈することを止める指定です。宣言と異なる扱いをされる事故を防ぐヘッダであり、ページを枠へ取り込ませない働きは持ちません。
• ウ入力に HTML タグが含まれていたら，…：入力に含まれるタグを、そのままでは解釈されない文字へ置き換える処理です。投稿された内容が命令として動き出すことを防ぐ手当てであり、透明な重ね合わせを止めるものではありません。
• エ入力文字数が制限を超えているときは受け付…：入力の長さが決められた上限を超えたときには受け付けないという検査です。過大な入力による不具合を防げますが、ページを重ねて押させるという手口の成り立ちには関わりません。