本動画では、平成24年春期情報セキュリティスペシャリスト試験午後I問1を題材に、Webアプリケーションの脆弱性対策における重要キーワードを解説します。具体的には、セッションハイジャックを防ぐための「secure属性」の設定や、クロスサイトスクリプティング攻撃を防ぐために出力文脈に合わせて適切な文字置き換えを行う「エスケープ処理」といった、セキュアプログラミングの基礎を学習します。
secure属性は暗号化通信時のみクッキーを送信させる設定で、セッションID盗聴を防ぐために不可欠です。エスケープ処理はユーザー入力値をブラウザがスクリプトとして解釈しないよう無害化する処理です。通常のHTML内とスクリプト内で必要な処理が異なるため、出力文脈を正確に把握し、バックスラッシュやシングルクォートなどを適切に変換する動的なスクリプト生成の知識が求められます。
