修了試験 2020-01-26実施分 基本情報技術者試験 問43

解説

正解は1です。 安全なWebアプリケーションを作るうえで、攻撃とその対策の組合せとして正しいものを選ぶ問題です。 【選択肢別解説】 1：○ 静的プレースホルダは、SQL文の構造を先に確定させてから値を当てはめる方式です。 入力値がSQL文として解釈されないので、SQLインジェクションの根本的な対策になります。 2：× 任意の外部サイトのスタイルシートを取り込めるようにすると、悪意あるスタイルの挿入を許すおそれがあります。 クロスサイトスクリプティングの対策は、出力時のエスケープ処理などです。 3：× GETメソッドはパラメータがURLに含まれ、偽のリンクでリクエストを送らせやすくなります。 クロスサイトリクエストフォージェリの対策は、秘密のトークンの埋込みや再認証などです。 4：× 利用者ごとに固定のセッションIDを使うと、IDを盗まれたり推測されたりしたときに乗っ取られます。 セッションハイジャック対策には、推測困難なIDをログインごとに発行し直すことが必要です。 【ポイント】 SQLインジェクションにはプレースホルダ、XSSにはエスケープ、CSRFにはトークン、セッションハイジャックにはIDの再発行と推測困難化が基本の対策です。