[https://www.youtube.com/watch?v=gexEU8cGFU4:embed:cite]
令和4年度春期情報処理安全確保支援士試験午後Ⅰ問1の過去問を徹底解説します。Webアプリ開発におけるHTTPヘッダインジェクションやSQLインジェクション、アクセス制御の不備といった脆弱性の仕組みと、プレースホルダやセッション管理を用いた具体的な修正実装について、Javaのソースコードを交えて詳しく学びます,,。 Webアプリケーションのセキュリティ実装において最も重要な要素の一つが入力値の検証と適切な処理であり、本問では開発段階での脆弱性作り込みを防ぐ能力が問われています。まず理解すべきはHTTPヘッダインジェクションの対策であり、これは攻撃者が改行コードを含む入力を送信することで意図しないヘッダフィールドやボディを追加させる攻撃です。HTTPにおける改行はCRLFで表され、URLエンコードされた形式である「%0D%0A」という文字列が重要なキーワードとなります,。これに対する防御策として、外部入力から改行コードを削除または拒否する処理が不可欠であり、これはメールヘッダインジェクション対策とも共通する考え方です,。次にデータベース操作における安全性確保としてSQLインジェクション対策が挙げられます。これは利用者からの入力値を直接SQL文に結合してしまうことで発生する脆弱性ですが、その根本的な解決策はプレースホルダを利用することです。プレースホルダとはSQL文のひな形の中に変数の場所を示す「?」記号を配置する技法のことであり、Java言語ではStatementではなくPreparedStatementクラスを用いて実装する必要があります,,。これにより入力値は単なるデータとして扱われ、悪意あるSQLコマンドとして解釈されることを防ぐことができます。さらに本問の核心部分であるアクセス制御の不備についても深く理解する必要があります。これはURLのクエリ文字列などで指定されたIDをサーバ側が検証なしに信用してしまうことで発生し、攻撃者が「id=10」を「id=11」のように書き換えるだけで未参加のプロジェクト情報にアクセスできてしまう問題です,,。この対策として、重要な識別子は改ざん可能なクライアント側のクエリ文字列からではなく、サーバ側で管理されているセッション情報から取得する設計への変更が求められます,。最後に情報表示機能におけるデータベースアクセス制御の強化も重要です。単に指定された情報の番号だけで検索するのではなく、SQLのWHERE句において情報の番号と利用者の所属するプロジェクトIDの両方を「AND」条件で組み合わせることで、その情報が存在するかどうかだけでなく、その利用者がアクセス権を持っているかどうかも同時に検証する堅牢なSQLを構築することが可能になります,。
