令和3年度春期 応用情報技術者試験 午前 問37

正解：イ

AI解説

クリックジャッキングは、透明化した罠のフレームを正規サイトの上に重ねてクリックを誘導する攻撃である。対策としてWebサーバがHTTPレスポンスヘッダにX-Frame-Optionsを設定し、他サイトからのフレーム埋込み（iframe表示）を禁止・制限することが有効である。 ア: X-Content-Type-Optionsは、ブラウザがContent-Typeを推測して実行してしまうMIMEタイプスニッフィングを防ぐヘッダであり、クリックジャッキング対策ではない。 イ: X-Frame-Optionsは、ページが他サイトのフレーム内に埋め込まれることを制限するヘッダであり、クリックジャッキング対策として適切である。 ウ: HTMLタグを別の文字列に置き換えるのはクロスサイトスクリプティング（XSS）対策のエスケープ処理であり、クリックジャッキング対策ではない。 エ: 入力文字数の制限はバッファオーバーフローや過大な入力によるDoS的攻撃への対策であり、クリックジャッキングとは無関係である。 💡 X-Frame-Options＝クリックジャッキング対策、X-Content-Type-Options＝MIMEスニッフィング対策と、ヘッダ名と対策対象をセットで暗記する。