令和3年度 春期 応用情報技術者試験 午前 問37
テクノロジ／セキュリティWeb サイトにおいて，クリックジャッキング攻撃の対策に該当するものはどれか。
出典：令和3年度 春期 応用情報技術者試験 午前 問37
- アHTTP レスポンスヘッダに X-Content-Type-Options を設定する。
- イHTTP レスポンスヘッダに X-Frame-Options を設定する。
- ウ入力に HTML タグが含まれていたら，HTML タグとして解釈されないほかの文字列に置き換える。
- エ入力文字数が制限を超えているときは受け付けない。
正解：イ
解説
クリックジャッキングは，攻撃対象のページを透明な iframe などで悪意あるページに重ね，利用者に気付かれずにクリック操作をさせる攻撃です。対策として，HTTP レスポンスヘッダに X-Frame-Options を設定し，自サイトのページが他サイトのフレーム内に表示されることを拒否します。
選択肢ごとの解説
- ア誤り。X-Content-Type-Options はブラウザによる MIME タイプの推測（コンテンツスニッフィング）を抑止する設定であり，クリックジャッキング対策ではありません。
- イ正しい。X-Frame-Options を設定してフレーム内への埋込みを禁止することがクリックジャッキング対策になります。
- ウ誤り。HTML タグを無害な文字列に置き換える（エスケープする）のはクロスサイトスクリプティング対策です。
- エ誤り。入力文字数の制限はバッファオーバフローや不正入力への一般的な対策であり，クリックジャッキング対策ではありません。