平成30年度春期 情報処理安全確保支援士 午前Ⅰ 問15

午前I 問15：セッション乗っ取りを防ぐにはどこを切る？

セッション乗っ取りの危険を減らしたいなら、ブラウザのキャッシュを消すだけでは不十分だよ。たとえるなら、手元の合鍵を捨てても、店側の鍵穴がそのままだと入れてしまうようなもの。大事なのは、サーバ側でそのセッションを「もう使えません」と失効させることなんだ。

この問題で問われていること

ブラウザなどのクライアント側でできる対処と、サーバ側で本当に効く対処の違いを見分けられるかがポイントだよ。

Session Invalidation

invalidate the session ID on the web server when the user logs out

logout -> server invalidates session

確認ポイント

• ブラウザキャッシュ削除だけでは不十分です。
• ディスク保存は逆効果です。
• サーバ側失効を選ぶ。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。Webサーバ側でセッションIDをディスクに格納するだけでは、そのIDを無効にしたことにはならないよ。大事なのは「保存すること」ではなく、ログアウト時にその合鍵をもう使えない状態にすることなんだ。

選択肢イ（正解）

これは正解だよ。セッションIDは、ログイン中だけ使える「合鍵」みたいなもの。ログアウトしたのにその合鍵がまだ使える状態だと、誰かに盗まれたときに勝手に入られる危険があるよね。だからWebサーバ側でセッションIDを無効にして、「この合鍵はもう使えません」とするのが、セッション乗っ取りを防ぐために大事なんだ。

選択肢ウ

これは不正解だよ。キャッシュされたWebページを消すのは、画面に残った情報を見られにくくする対策にはなるけど、セッションIDという「ログイン用の合鍵」そのものを使えなくする処理ではないよ。合鍵がまだ有効なら、ページを消しても乗っ取り対策としては足りないんだ。

選択肢エ

これは不正解だよ。ブラウザ側のディスクにセッションIDを保存すると、ログアウト後も合鍵を机の上に置きっぱなしにするようなもの。端末を他人に使われたり、情報を盗まれたりしたときに悪用される危険があるから、対策としては逆効果になりやすいんだ。