問64
頻出度★★★
SQLインジェクションの対策などで用いられ, 処理の誤動作を招かないように, 利用者がWebサイトに入力した内容に含まれる有害な文字列を無害な文字列に置き換えることを何と呼ぶか。
平成28年度 春期 ITパスポート試験 問64
この問題の解説と、これまでの解答の記録です。
解説
問 64
- ア
正解 正解はア「サニタイジング」。サニタイジング (sanitizing、無害化) とは、利用者がWebサイトに入力したデータに含まれる、SQL文やスクリプトとして解釈されてしまう危険な文字 (例: 「'」「<」「>」など) を、無害な文字列へ置き換えたり除去したりする処理を指す。これによりSQLインジェクションやクロスサイトスクリプティングといった、入力値を悪用して処理を誤動作させる攻撃を防げる。設問の「有害な文字列を無害な文字列に置き換える」という説明とそのまま一致するため、アが正しい。
不正解イ
ストリーミングは、動画や音声などのデータをすべてダウンロードし終える前に、受信しながら順次再生する配信方式のこと。入力値の無害化とは無関係。
不正解ウ
テザリングは、スマートフォンなどのモバイル端末を経由して、PCやタブレットをインターネットに接続させる機能のこと。ネットワーク接続の共有手段であり、セキュリティ対策の文字列変換とは無関係。
不正解エ
リバースエンジニアリングは、既存の製品やソフトウェアを分解・解析して、その構造や仕様、設計情報を明らかにする手法のこと。入力データの無害化処理とは別概念。
ここがポイント
- サニタイジング (無害化) = 入力値中の危険な文字を無害な文字列に置換・除去し、SQLインジェクションやXSSなどの攻撃を防ぐ対策。エスケープ処理とも密接に関連する。
- SQLインジェクションは、入力欄に不正なSQL文の断片を紛れ込ませてデータベースを不正操作する攻撃であり、その代表的な対策がサニタイジングとプレースホルダ (バインド機構) の利用。
用語