平成30年度 高度共通 午前I（PM試験） 問15

正解：イ

AI解説

セッション乗っ取り(セッションハイジャック)は、有効なセッションIDを攻撃者が入手・利用することで成立する。したがってログアウト時には、Webサーバ側でそのセッションIDを無効化(破棄)し、以後同じIDでのアクセスを受け付けないようにすることが最も有効である。 ア: サーバでセッションIDをディスクに保存しても、IDは有効なまま残るため乗っ取りの機会は減らない。むしろ保存は漏えいリスクになり得る。 イ: 正解。ログアウト時にサーバ側でセッションIDを無効にすれば、盗まれたIDが使われてもセッションが成立せず、乗っ取りを防げる。 ウ: ブラウザのキャッシュクリアは表示済みページの情報漏えい対策にはなるが、サーバ側でセッションが有効なままなら乗っ取りは防げない。 エ: ブラウザでセッションIDをディスクに格納するのは、IDを残す行為であり逆効果である。 💡 セッション管理の原則は「ログイン成功時にIDを再発行し、ログアウト時に無効化する」。クライアント側の対処ではなく、サーバ側でセッションを破棄することが本質という点を覚えておく。