令和3年度 春期 応用情報技術者試験 午前 問44
テクノロジセキュリティ技術Webアプリケーション・ソフトウェアの脆弱性
Webシステムにおいて，セッションの乗っ取りの機会を減らすために，利用者のログアウト時にWebサーバ又はWebブラウザにおいて行うべき処理はどれか。ここで，利用者は自分専用のPCにおいて，Webブラウザを利用しているものとする。
解答・解説
正解: イ. WebサーバにおいてセッションIDを無効にする。
Webシステムにおけるセッション管理では、利用者を識別するためにセッションIDが用いられます。セッションハイジャック（セッションの乗っ取り）は、このセッションIDが第三者に盗まれ、不正に利用される攻撃です。
セッションの乗っ取りの機会を減らすためには、利用者がシステムからログアウトした際に、そのセッションIDを直ちに無効化することが重要です。これにより、万が一セッションIDが漏洩していたとしても、ログアウト後であれば攻撃者はそのIDを用いてアクセスできなくなります。したがって、WebサーバにおいてセッションIDを無効にすることが適切な処理となります。
各選択肢の解説
- ア: WebサーバにおいてセッションIDを内蔵ストレージに格納しても、現在有効なセッションIDを無効化する処理にはならず、セッション乗っ取りの防止には繋がりません。
- イ: 正解です。ログアウト時にWebサーバ側でセッションIDを無効にすることで、その後の不正利用を防ぐことができます。
- ウ: Webブラウザのキャッシュをクリアすることは、過去に閲覧した情報がPCに残らないようにするためには有効ですが、Webサーバ上でセッション自体は有効なままである可能性があり、セッション乗っ取りの直接的な対策としては不十分です。
- エ: WebブラウザにおいてセッションIDを内蔵ストレージに格納すると、セッションIDがクライアント側に残り続けることになり、盗まれるリスクが高まるため不適切です。