令和4年度 秋期 午前Ⅱ 問11

✓ これが正解エHTTP レスポンスヘッダーに，X-Frame-Options を設定する。

解説

X-Frame-Optionsでフレーム内表示を制限するのが対策です。

クリックジャッキングは、正規の Web ページを透明にしたフレームの中に読み込み、罠のページの上に重ねて表示する攻撃です。利用者は見えているボタンを押したつもりでも、実際には透明な正規ページの操作をさせられます。この攻撃は、正規ページが他のサイトのフレームに入れられることが前提です。そこで HTTP レスポンスヘッダーに X-Frame-Options を設定し、自分のページをフレーム内に表示させない、または同じサイトからだけ許すように指示します。四つの対策はどれも Web のセキュリティ対策ですが、それぞれが防ぐ攻撃は異なります。

ほかの選択肢はなぜ違うのか

• アcookie に，HttpOnly 属性…：cookie に HttpOnly 属性を付けると、ページ上のスクリプトからその cookie を読み取れなくなります。クロスサイトスクリプティングで cookie を盗まれるのを防ぐ対策であり、ページを重ねてクリックさせる攻撃は防げません。
• イcookie に，Secure 属性を設…：cookie に Secure 属性を付けると、HTTPS の通信のときにだけ cookie が送られるようになります。暗号化されない通信での盗聴を防ぐ対策であって、正規ページを透明なフレームに入れられることは止められません。
• ウHTTP レスポンスヘッダーに，Stri…：Strict-Transport-Security を設定すると、ブラウザはそれ以後その Web サイトへ HTTPS で接続するようになります。通信の暗号化を強制して盗聴や改ざんを防ぐものであり、ページのフレーム表示の可否は制御しません。