情報セキュリティマネジメント試験基礎・応用
条件を読む・根拠を説明する
ログイン中の意図しない変更
条件を整理し、答えを選んでから解き方を確認しましょう。
会員サイトにログイン中、外部ページを開くと配送先変更の要求が会員サイトへ送られ、Cookieが付いて処理された。最も直接的な根本対策はどれか。
答え・解き方を読む
変更要求に予測困難なトークンを付けサーバ側で照合
考える順序
- 1ログイン済みかだけで利用者の意図は分からない
- 2外部から作られた変更要求を識別する仕組みが不足
- 3正規画面の秘密トークンを実行時に検証する
選択肢ごとの理由
- 比較 · 通信をHTTPSへ変更するだけ
通信の暗号化だけでは外部起点の要求を区別しません。
- 比較 · 配送先列にUNIQUE制約を付ける
値の一意性は要求の正当性とは別です。
- 正解 · 変更要求に予測困難なトークンを付けサーバ側で照合
ログイン済みかだけで利用者の意図は分からない。外部から作られた変更要求を識別する仕組みが不足。正規画面の秘密トークンを実行時に検証する。
- 比較 · 変更履歴を長期間保存する
履歴は事後の調査に役立ちますが要求を拒否しません。