Webアプリケーションの脆弱性を突くクロスサイトリクエストフォージェリ攻撃(CSRF)の対策として不適切なものはどれか。

Question

Accepted Answer

リクエストごとに推測困難なワンタイムトークンを生成して埋め込み、送信時に照合する仕組みではなく、静的な秘密の固定パラメータをURLクエリ文字列に含めて毎回同じ値でGETリクエストを送信させる。

Answer

リクエストを送信する際のHTTPメソッドとして、状態を変更する処理であっても安全性が高いとされるGETメソッドを採用し、URLに含まれるパラメータで処理を実行させる。

Answer

送信元の正当性を確認するために、ブラウザが自動送信するCookieの属性として、SameSite属性をStrictまたはLaxに設定してクロスサイトでの送信を制限する。

Answer

ユーザーが重要な操作を実行する際、あらかじめ登録されたパスワードや暗証番号を再度入力させることで、意図しないリクエストの自動実行を防止する。