令和7年度 秋期 情報処理安全確保支援士試験 午前II 問16

• ア: Web サイトでの決済などの重要な操作の都度，利用者のパスワードを入力させる。
  誤り。重要な操作の直前にパスワードを再入力させると、パスワードを知らない攻撃者は正しいリクエストを偽造できないため、CSRF 対策として有効です。

• イ: Web サイトへのログイン後，HTTP レスポンスボディに含めた秘密の値と，Web ブラウザから送付される値とを，Web サーバ側で照合する。
  誤り。これは CSRF トークン（秘密の値の照合）であり、CSRF 対策として有効です。

• ウ: Web ブラウザからのリクエスト中の Referer によって正しいリンク元からの遷移であることを確認する。
  誤り。これも一般的な CSRF 対策として有効です（ただしブラウザ設定により Referer が送られない場合がある）。

• エ: Web ブラウザからのリクエストを Web サーバで受け付けた際に，リクエストに含まれる “<”, “>” などの特殊文字を，“<”, “>” などの文字列に置き換える。
  正しい。これは XSS（クロスサイトスクリプティング）対策であり、CSRF 攻撃への対策としては効果がありません。

答え

エ: Web ブラウザからのリクエストを Web サーバで受け付けた際に，リクエストに含まれる “<”, “>” などの特殊文字を，“<”, “>” などの文字列に置き換える。