Question

クロスサイトリクエストフォージェリ攻撃の対策として，効果がないものはどれか。

Accepted Answer

WebブラウザからのリクエストをWebサーバで受け付けた際に，リクエストに含まれる“<”，“>”などの特殊文字を，“<”，“>”などの文字列に置き換える。。特殊文字をHTMLエスケープ（サニタイジング）する対策は，クロスサイトスクリプティング（XSS）の対策であり，CSRFには効果がない。CSRF対策にはトークンの照合，Refererの確認，重要操作時のパスワード再入力などが有効である。

Answer

Webサイトでの決済などの重要な操作の都度，利用者のパスワードを入力させる。

Answer

Webサイトへのログイン後，HTTPレスポンスボディに含めた秘密の値と，Webブラウザから送付される値とを，Webサーバ側で照合する。

Answer

Webブラウザからのリクエスト中のRefererによって正しいリンク元からの遷移であることを確認する。

Answer

WebブラウザからのリクエストをWebサーバで受け付けた際に，リクエストに含まれる“<”，“>”などの特殊文字を，“<”，“>”などの文字列に置き換える。