令和7年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問16

解説

クロスサイトリクエストフォージェリ（CSRF）は，利用者がログイン中のセッションを悪用し，利用者本人が意図しないリクエストを送信させる攻撃です。対策としては，秘密のトークンを埋め込んで正当なリクエストであることを検証する方式（トークン方式），Referer による遷移元確認，重要操作時の再認証（パスワード再入力）などが有効です。一方，選択肢エの特殊文字のエスケープ処理はクロスサイトスクリプティング（XSS）対策であり，CSRF 対策としては効果がありません。

選択肢ごとの解説

• ア誤り（効果がある）。重要な操作の都度パスワードを再入力させることで，攻撃者が用意した偽リクエストによる操作を防止できるため，CSRF 対策として効果があります。
• イ誤り（効果がある）。ログイン後にサーバから発行した秘密の値をリクエストに含めて照合するトークン方式は，代表的な CSRF 対策であり効果があります。
• ウ誤り（効果がある）。Referer を確認して正しい遷移元からのリクエストであることを検証することは，CSRF 対策として効果があります。
• エ正しい（効果がない）。特殊文字のエスケープ処理はクロスサイトスクリプティング（XSS）対策であり，正規のログインセッションを悪用して意図しないリクエストを送信させる CSRF に対しては効果がありません。