技術士第一次試験 専門科目情報工学部門 H26
通常
試験時間: 00:00問題時間: 00:00
問題一覧
問題 31 / 35
出典: 平成26年度技術士第一次試験問題[専門科目情報工学部門] III-31Webアプリケーションに対する攻撃の1つに、リクエスト強要（Cross-site Request Forgery）がある。これは、別のサイトに用意したコンテンツ上の罠のリンクを踏ませること等をきっかけとして、インターネットショッピングの最終決済や退会等Webアプリケーションの重要な処理を呼び出すようユーザを誘導する攻撃である。この攻撃への対策として、最も適切なものはどれか。
①他者が推定困難なランダム値をhiddenフィールドとして埋め込んでおき、フォームデータを処理する際に、フォームデータ内にその値が含まれていることを確認する。
②プログラム中のデータをHTMLドキュメントに出力する際に、タグや属性値を表現する特殊文字について、HTMLエンティティを表現する記法に置換する。
③別のプログラムを呼び出す際に与えるパラメータについて、文字種を英数字のみ等の安全なものに限定し、検査してから渡す。
④文字列連結演算を用いてSQL文の途中へ値を埋め込む際に、特殊記号の効力を打ち消すよう、エスケープ処理を実施する。
⑤ユーザがログインに成功した時点でまったく新しいセッションIDを発行し、それまでのセッションIDを無効にする。