令和3年度 春期 ITストラテジスト試験 システムアーキテクト試験 ネットワークスペシャリスト試験 ITサービスマネージャ試験 情報処理安全確保支援士試験 午前Ⅰ 問題【共通】 問15
テクノロジセキュリティ技術Webアプリケーション・ソフトウェアの脆弱性
Webシステムにおいて，セッションの乗っ取りの機会を減らすために，利用者のログアウト時にWebサーバ又はWebブラウザにおいて行うべき処理はどれか。ここで，利用者は自分専用のPCにおいて，Webブラウザを利用しているものとする。
解答・解説
正解: イ. WebサーバにおいてセッションIDを無効にする。
Webシステムでは、利用者の状態や一連の通信を管理するために セッションID を用います。セッションの乗っ取り（セッションハイジャック）を防ぐためには、利用者がログアウトした時点で、そのセッションを確実に終了させることが重要です。
- ログアウト時に Webサーバ 側で現在のセッションIDを無効化することで、万が一セッションIDが第三者に漏洩していたとしても、そのセッションIDを使った不正なアクセスを防ぐことができます。
- したがって、正解は イ です。
各選択肢の解説
- ア: WebサーバにおいてセッションIDを内蔵ストレージに格納しても、セッション自体は有効なままであり、乗っ取りの防止にはなりません。
- ウ: Webブラウザのキャッシュをクリアすることは、画面に表示された情報の履歴を消去するためプライバシー保護としては意味がありますが、サーバ側のセッションは維持されたままであるため、セッション乗っ取りの対策にはなりません。
- エ: WebブラウザにおいてセッションIDを内蔵ストレージに格納することは、ログイン中のセッション維持のための動作であり、ログアウト時に行うべき処理ではありません。むしろ、ログアウト時にはブラウザ側のセッションID（Cookieなど）も破棄することが望ましいです。