情報セキュリティマネジメント試験 科目A 情報セキュリティ全般 練習問題 第4問: 会員サイトで、ログインしたままの利用者が別のサイトを開いただけで、何も操作していないのに、会員サイトの登録内容が書き換えられたという届出が相次いだ。調査の結果、

正解: 4. 重要な処理を実行する直前のページでパスワードを再入力させ、正しく入力された場合にだけ処理を実行する。

「重要な処理を実行する直前のページでパスワードを再入力させ、正しく入力された場合にだけ処理を実行する」が適切です。ログイン中の利用者が別のサイトを開いただけで処理を実行させられるのは CSRF（クロスサイト・リクエスト・フォージェリ）の脆弱性で、IPA「安全なウェブサイトの作り方」改訂第7版は、処理を実行する直前のページで再度パスワードの入力を求め、正しい場合のみ処理を実行する方法を根本的解決の一つに挙げています。重要な操作の後に登録済みのメールアドレスへ通知するのは同書の保険的対策で、事後処理なので攻撃自体は防げません。X-Frame-Options の出力はクリックジャッキングへの対策、HTTPS の利用は通信の盗聴や改ざんへの対策で、外部のサイトから送らせたリクエストを見分けるものではありません。根本的解決と保険的対策を区別しましょう。

関連キーワード: CSRF・クロスサイト・リクエスト・フォージェリ・パスワードの再入力