平成30年度春期 システム監査技術者 午前Ⅰ 問15

ログアウト処理を考える視点

ログアウトに関する設問では、利用者の操作後に何が変化し、どの状態が残り得るかを整理し、対象となる範囲、関係する要素、確認の順序を意識して、丁寧に考えていきます。

この問題で問われていること

一つの観点として、処理の前後で利用者を識別する状態がどのように扱われるかに注目し、画面表示だけでなく関連する状態の変化と確認対象の範囲を、順序立てて整理してください。

視点

ログアウト処理を検討するときは、利用者の意図、保持される状態、処理の適用範囲を分けて整理します。まず何を対象に観察するかを決め、前後の違いを比較し、残存する要素が検討対象に含まれるかを確認しましょう。

確認ポイント

• 処理の前後で変化する対象を整理する
• 確認する範囲を一つに定める
• 画面以外に関係する状態も観察する

正解

イ

解説

セッションIDは、利用者のログイン状態を識別する情報です。ログアウト時には、そのIDを使っても以前のセッションにアクセスできない状態にすることで、第三者によるセッション乗っ取りの機会を減らせる。

理由

ログアウト後もセッションIDが有効なままだと、第三者がそのIDを利用して、ログアウト前の認証済みセッションとしてアクセスできる可能性が残る。したがって、サーバ側で対象セッションを無効にする処理が必要です。

比較

セッションIDを保存するだけでは、セッションの有効性は失われない。また、ブラウザのキャッシュを消去しても、サーバ側の認証状態そのものは終了しない。専用PCの利用条件は、他人がブラウザを使う場合の残存情報対策とは区別して考える。

選択肢ア

これは不正解だよ。WebサーバにセッションIDをディスクへ格納しても、既に発行されたセッションIDの有効性は失われない。ログアウト後の再利用を防ぐには、保存場所を変えるのではなく、そのセッションを認証に使えない状態へ移行させる必要がある。

選択肢イ（正解）

これは正解だよ。Webサーバでログアウト対象のセッションIDを無効にすると、そのIDを後から提示されても、ログイン中のセッションとして扱えなくなる。これにより、セッションIDを第三者に取得された場合でも、ログアウト後の不正利用につながる可能性を減らせる。

選択肢ウ

これは不正解だよ。WebブラウザにキャッシュされているWebページを消去する処理は、表示済みデータの残存を減らす対策である。しかし、サーバ側で管理されるセッションIDの有効性を直接終了させるものではないため、セッション乗っ取り対策としての本質的な処理にはならない。

選択肢エ

これは不正解だよ。WebブラウザにセッションIDをディスクへ格納しても、セッションIDの有効性は変化せず、むしろ端末上に識別情報を残すことになる。ログアウト時に必要なのは、保存ではなく、対象セッションを利用できない状態にすることである。

学習のポイント

セッションIDの無効化と、キャッシュ削除などの表示データ処理を区別する。