問37応用情報技術者 令和3年度 春期

解説

正解は2。クリックジャッキングは、標的のWebページを透明にして別のページの上にframeで重ね、利用者に気づかれないままボタンなどをクリックさせる攻撃。HTTPレスポンスヘッダでX-Frame-Optionsを設定し、DENYやSAMEORIGINを指定すると、ほかのサイトのframe内に自分のページを表示させないようにできる。

• 1は、X-Content-Type-Options。nosniffを指定してブラウザによるMIMEタイプの推測を止める設定で、別の攻撃への対策。
• 3は、HTMLタグを無害な文字列に置き換えるのは、クロスサイトスクリプティング（XSS）への対策。
• 4は、入力文字数の制限は入力値の検証で、バッファオーバフローなどへの対策。

根拠：RFC 7034（HTTP Header Field X-Frame-Options）。