平成29年度春期 情報処理安全確保支援士 午前Ⅱ 問5

セッションIDを“先に押し付ける”乗っ取り攻撃

これは、攻撃者があらかじめ用意したセッションIDを、被害者のブラウザにこっそり使わせる攻撃だよ。たとえるなら、攻撃者が先に作った入場券を被害者に渡して、その券でログインしてもらう感じ。被害者がそのIDのまま認証すると、攻撃者も同じIDを使ってログイン済みの状態に入り込めてしまうんだ。

この問題で問われていること

ポイントは、セッションIDを盗み聞きしたり推測したりする話ではなく、攻撃者が“固定したIDを被害者に使わせる”攻撃だと見抜けるかだよ。

Session Fixation

session fixation works by forcing the victim to authenticate using a session ID chosen in advance by the attacker

attacker prepares session ID\nvictim authenticates with same ID\nattacker reuses logged-in session

確認ポイント

• 攻撃者が先にIDを用意する。
• ログイン後に乗っ取る流れを見る。
• 盗聴型と区別する。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。これは、せっかく大事な会員証を安全な封筒で送っていたのに、別ルートでは裸で送ってしまい、盗み見されるような話だよ。Secure属性がないCookieはHTTPでも送られることがあり、盗聴される危険があるけど、セッションIDを利用者に押し付ける攻撃ではないんだ。

選択肢イ

これは不正解だよ。これは、URLに会員証番号を書いたまま別のお店へ移動したら、紹介元情報としてその番号まで渡ってしまうような話だよ。RefererからセッションIDが漏れて盗まれる危険はあるけど、攻撃者が用意したセッションIDを利用者に使わせる攻撃ではないんだ。

選択肢ウ（正解）

これは正解だよ。悪意のある人が先にWebサイトで合鍵のようなセッションIDを用意して、それを利用者のブラウザにこっそり持たせる。利用者がその合鍵でログインすると、その合鍵が本人確認済みになり、攻撃者も同じ合鍵で入り込めるんだ。これがセッションフィクセーション攻撃だよ。

選択肢エ

これは不正解だよ。これは、受付番号みたいなセッションIDが「12345、12346…」みたいに予想しやすくて、泥棒が番号を当てにいく攻撃だよ。セッションIDを固定して利用者に使わせる話ではなく、「推測して当てる」タイプなんだ。