令和3年度春期 ITサービスマネージャ 午前Ⅰ 問15

ログアウト処理の影響範囲を考える

セッション乗っ取り対策を考えるときは、ある処理を行った結果として何が変わり、何が変わらないのかを整理することが大切です。処理の効果が及ぶ範囲を意識しながら、問題の条件と照らし合わせて検討しましょう。

この問題で問われていること

この問題では、ログアウト時の処理それぞれについて、その処理がどこに作用し、セッションに関わる関係者の誰にとって状況を変えるのかという観点が鍵になります。一つずつ作用範囲を見極めてください。

視点

セッション管理では、利用者を識別するための情報がやり取りされ、その情報が複数の場所に存在し得ます。ある処理を評価するときは、その処理がどの場所の情報に働きかけるのか、また処理後も残る情報がないかを分けて考えると整理しやすくなります。

確認ポイント

• その処理を行った後に、何が変化し何が変化しないのかを自分の言葉で説明できるか
• 処理の効果が及ぶ範囲が、問題で想定されている脅威の条件と対応しているか
• 画面上で見える操作の結果と、実際に状態が変わる場所とを区別して考えているか

正解

イ

解説

セッション乗っ取りは、盗まれたセッションIDが有効な間に行われます。ログアウト時にWebサーバでセッションIDを無効にすれば、そのIDは使えなくなり、乗っ取りの機会を減らせます。そのため正解はイです。

理由

Webサーバは、送られてきたセッションIDが有効かどうかで、ログイン済みの利用者かを判断します。ログアウトしてもサーバ側でIDが有効なままだと、そのIDを入手した攻撃者はなりすましを続けられます。ログアウト時にWebサーバでセッションIDを無効にすれば、盗まれたIDも使えなくなります。

比較

ウのキャッシュのクリアは、共用PCで閲覧内容をのぞかれないための対策です。本問は自分専用のPCが前提で、キャッシュを消してもサーバ上のセッションは残ります。アとエはセッションIDを保存するだけの処理です。IDは有効なまま残るため、乗っ取りの機会は減りません。

選択肢ア

これは不正解だよ。WebサーバでセッションIDを内蔵ストレージに格納しても、そのIDは有効なまま残ります。攻撃者が盗んだセッションIDを送れば、サーバはログイン中の利用者として受け付けてしまいます。ログアウト時の処理としては、乗っ取りの機会を減らせません。

選択肢イ（正解）

これは正解だよ。ログアウト時にWebサーバでセッションIDを無効にすると、その後に同じIDが送られてきても、サーバは認証済みの利用者として扱いません。攻撃者がIDを盗んでいても、使える期間はログアウトの時点で終わります。そのため、セッション乗っ取りの機会を減らせます。

選択肢ウ

これは不正解だよ。キャッシュしたWebページのクリアは、共用PCで後から使う人に閲覧内容を見られないための対策としては意味があります。しかし本問は自分専用のPCが前提です。ページを消してもサーバ上のセッションは有効なままなので、盗まれたIDによる乗っ取りは防げません。

選択肢エ

これは不正解だよ。WebブラウザでセッションIDを内蔵ストレージに格納すると、ログアウト後もIDが端末に残ります。サーバでIDが有効なままなら、残ったIDが漏えいしたときに再利用されるおそれがあります。乗っ取りの機会を減らすどころか、増やしかねない処理です。

学習のポイント

セッションIDの有効期間と、ログアウト時にWebサーバでセッションを確実に破棄することの重要性を理解する。