クリックジャッキング攻撃に有効な対策はどれか。

選択肢

• アcookieに,HttpOnly属性を設定する。
• イcookieに,Secure属性を設定する。
• ウHTTPレスポンスヘッダーに,Strict-Transport-Securityを設定する。
• エHTTPレスポンスヘッダーに,X-Frame-Optionsを設定する。

正解と解説

正解：エ HTTPレスポンスヘッダーに,X-Frame-Optionsを設定する。

クリックジャッキングは、透明にした標的サイトのフレームを罠のページに重ね、利用者が意図しないボタンを押させる攻撃である。そこで標的サイト側が、自分のページを他サイトのフレーム内で表示させないよう指示すれば成立しなくなる。X-Frame-Optionsヘッダー（またはCSPのframe-ancestors）がその指示にあたる。

選択肢ごとの解説

• アHttpOnly属性はスクリプトからのcookie読み出しを防ぐもので、フレームの重ね合わせには効かない。
• イSecure属性はHTTPS通信時にのみcookieを送らせる設定である。
• ウStrict-Transport-SecurityはHTTPSでの接続を強制する仕組みである。
• エ正しい。自サイトを他サイトのフレーム内に表示させないよう指示でき、攻撃の前提を崩せる。

この問題は2回出題されています

• 2022年度 秋期 午前II 問11（このページ）
• 2024年度 秋期 午前II 問14

同じ分野の他の問題

• クロスサイトリクエストフォージェリ攻撃の対策として,効果がないものはどれか。2025年度 秋期 午前II 問16
• WAFにおけるフォールスポジティブに該当するものはどれか。2024年度 秋期 午前II 問12
• Webサーバから送信されるHTTPヘッダーのうち、Webサーバからの応答の内容を、Webブラウザやプロキシサーバなどのキ…2024年度 春期 午前II 問20
• HTTP Strict Transport Security(HSTS)の動作はどれか。2024年度 春期 午前II 問13
• クロスサイトリクエストフォージェリ攻撃の対策として、効果がないものはどれか。2024年度 春期 午前II 問1