平成28年度 高度共通 午前I（PM試験） 問14

正解：エ

AI解説

セッションハイジャックされると、攻撃者は正規利用者になりすましてアクセスできる。そこで、重要な情報を送信する直前に改めてパスワードによる利用者認証(再認証)を行えば、セッションIDしか持たない攻撃者は本人のパスワードを知らないため、重要情報へのアクセスを阻止でき、被害の拡大を防げる。よってエが最も適切である。 ア: 通信の暗号化は盗聴対策としては有効だが、セッションが既に乗っ取られた後では、攻撃者との間の通信も暗号化されるだけで被害拡大は防げない。 イ: 発行済セッションIDをCookieに格納するのはセッション管理の一般的方法にすぎず、乗っ取り後の被害拡大防止にはならない。 ウ: セッションIDをURLに設定すると、Referer経由で外部に漏れるおそれがあり、むしろセッションハイジャックのリスクを高める不適切な方法である。 エ: 正解。重要情報の送信直前に再認証を要求すれば、パスワードを知らない攻撃者はそこで排除される。 💡 「乗っ取られた後でも効く対策か」を基準に選ぶのがコツ。重要操作(送金・個人情報表示・パスワード変更)の直前の再認証は、セッションハイジャック被害を局所化する定番対策として覚えておく。