平成28年度春期 応用情報技術者試験 午前 問41
Webアプリケーションのセッションが攻撃者に乗っ取られ，攻撃者が乗っ取ったセッションを利用してアクセスした場合でも，個人情報の漏えいなどの被害が拡大しないようにするために，Webアプリケーションが重要な情報をWebブラウザに送信する直前に行う対策として，最も適切なものはどれか。
- ア Webブラウザとの間の通信を暗号化する。
- イ 発行済セッションIDをCookieに格納する。
- ウ 発行済セッションIDをURLに設定する。
- エ パスワードによる利用者認証を行う。
解答・解説を見る
正解：エ
AI解説
正解はエ。セッションハイジャックでセッションIDを乗っ取られた場合でも、重要情報の表示や重要な操作の直前に改めてパスワードによる利用者認証(再認証)を要求すれば、正しいパスワードを知らない攻撃者はそこから先に進めず、被害の拡大を防げる。『重要な情報を送信する直前に行う対策』という条件が再認証を指している。 ア: 通信の暗号化は盗聴対策としては有効だが、既にセッションを乗っ取られた攻撃者のアクセス自体は防げない。 イ: 発行済セッションIDをCookieに格納するのは通常のセッション管理方法であり、乗っ取り後の被害拡大防止にはならない。 ウ: セッションIDをURLに設定すると、Referer(参照元)ヘッダなどからIDが漏えいしやすくなり、むしろセッションハイジャックの危険を高める。 エ: 重要情報の送信直前にパスワード認証を行えば、セッションを乗っ取った攻撃者でも本人確認を突破できず、被害拡大を防げるため正しい。 💡 『乗っ取られた後でも効く対策は何か』という問題設定を読み取るのがカギ。重要操作前の再認証はネットバンキングの振込時パスワードと同じ発想。セッションIDのURL埋込みは常に悪手と覚えておく。
出典：平成28年度 春期 応用情報技術者試験 午前 問41 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。