情報処理安全確保支援士 令和7年度 秋期 午前II、全25問のうちの問16。
出典：令和7年度 秋期 情報処理安全確保支援士試験 午前II 問16
クロスサイトリクエストフォージェリ攻撃の
- アWeb サイトでの
決済などの 重要な 操作の 都度， 利用者の パスワードを 入力させる。 - イWeb サイトへの
ログイン後， HTTP レスポンスボディに 含めた 秘密の 値と， Web ブラウザから 送付される 値とを，Web サーバ側で 照合する。 - ウWeb ブラウザからの
リクエスト中の Referer に よって 正しい リンク元からの 遷移である ことを 確認する。 - エWeb ブラウザからの
リクエストを Web サーバで 受け付けた 際に，リクエストに 含まれる “<”， “>”などの 特殊文字を，“<”， “>”などの 文字列に 置き換える。
答えと解説を開く
正解はエです。
CSRF は、
ほかの選択肢が違う理由
- ア重要な
操作の たびに パスワードを 入れさせると、 罠の サイトは パスワードを 知らないので、 操作を 成り立たせられません。 効果が ある 対策です。 - イ自分の
サイトの 画面にだけ 埋めた 秘密の 値 (トークン) を 照らせば、 罠の サイトは その値を 知らないので 見分けられます。 代表的な 対策です。 - ウReferer を
見て、 自分の サイトの 画面から 来た 送信かを 確かめるのも 対策に なります。 ただし Referer が 付かない 場合も あるので、 付かない ときの 扱いを 決めて おく 必要が あります。
仕組み
ブラウザは、
今は