応用情報技術者認証・入力・暗号の安全な利用オリジナル・公式資料照合難易度
公開クライアントのOAuth認可コードフローで、別アプリにコードを横取りされても、そのコードだけでトークン交換されにくくしたい。PKCEの適切な使い方はどれか。
A
code_challengeを省き、交換時に任意のverifierを名乗る
事前のchallengeとの対応を検査できず、フローを結び付けられない。
B
PKCEを使えばredirect URIやstate等の必要な検証をすべて省略できる
PKCEは他のプロトコル上の検証を無条件に置き換えるものではない。
C
要求ごとのverifierからS256 challengeを送り、交換時に同じverifierを提示する★ 正解
認可要求とトークン交換をverifierで結び付ける。横取りしたコードだけでは対応するverifierがないため交換を防げる。
D
全インストールで同じ公開verifierを使う
攻撃者にも既知の値なら、コードを横取りした際の追加の証明にならない。
解説
認可要求とトークン交換をverifierで結び付ける。横取りしたコードだけでは対応するverifierがないため交換を防げる。
根拠資料・確認情報
対応範囲：2026年度 応用情報技術者試験／シラバスVer.7.2・科目A/B表記
資料確認日：2026-11-02
アプリ内の初回回答データ
回答データを読み込んでいます。