平成30年度春期 応用情報技術者試験 午前 問43

正解：イ

AI解説

セッション乗っ取り(セッションハイジャック)は，有効なセッションIDを攻撃者が入手・悪用することで成立する。ログアウト時にWebサーバ側でそのセッションIDを無効化すれば，仮にセッションIDが漏えいしていても以後は使えなくなるため，乗っ取りの機会を減らせる。無効化はサーバ側で行うことが本質である。 ア: 誤り。サーバでセッションIDをディスクに保存し続けることは無効化とは逆で，有効なIDが残り乗っ取りの機会を減らせない。 イ: 正解。ログアウト時にサーバ側でセッションIDを無効にすれば，そのIDを第三者が入手していても再利用できない。 ウ: 誤り。ブラウザのページキャッシュのクリアは表示内容の残留対策にはなるが，サーバ側でセッションが有効なままではセッション乗っ取りの防止にならない。 エ: 誤り。ブラウザでセッションIDをディスクに格納すると，IDが永続化されて漏えいリスクがむしろ高まる。 💡 セッション管理の原則は「セッションIDは推測困難に生成し，ログアウトや一定時間経過でサーバ側から無効化する」。「クライアント側で何かする」選択肢は，サーバが依然そのIDを受け入れる以上は根本対策にならない，という視点で切れる。