令和3年度 春期 応用情報技術者 問37

正解 イ

クリックジャッキングは、透明にしたフレームに正規ページを重ねてクリックさせる攻撃です。X-Frame-Optionsでフレーム内への表示を制限すれば防げます。

クリックジャッキングは、攻撃者のページの上に正規のWebページをiframeで透明に重ねる攻撃です。利用者は見えている画面をクリックしたつもりで、正規ページのボタンを押してしまいます。X-Frame-Optionsは、ページをフレーム内に表示してよいかをブラウザに指示するHTTPレスポンスヘッダです。DENYやSAMEORIGINを設定すると、他サイトのフレーム内には表示されなくなります。

ア：X-Content-Type-Optionsは、nosniffを指定してブラウザがContent-Typeを無視して内容を推測するのを防ぐヘッダです。MIMEスニッフィングを悪用したXSSなどの対策です。

ウ：HTMLタグを別の文字列に置き換えるのはエスケープ処理です。クロスサイトスクリプティングの対策です。

エ：入力文字数の制限は、バッファオーバーフローなどへの対策です。ページをフレームに重ねる攻撃は防げません。

出典：令和3年度 春期 応用情報技術者試験 問37