令和3年度 春期 応用情報技術者試験 問44

解説

正解は2です。 セッションの乗っ取りは、他人のセッションIDを盗んで、その利用者になりすます攻撃です。 ログアウト後も同じセッションIDが使えると、盗まれたIDで不正にアクセスされるおそれがあります。 【選択肢別解説】 1：× WebサーバでセッションIDを保存するだけでは、IDは有効なままです。 盗まれたIDによる乗っ取りの機会は減りません。 2：○ ログアウト時にWebサーバ側でセッションIDを無効にすれば、そのIDはもう使えなくなります。 たとえIDが盗まれていても再利用できないので、乗っ取りの機会を減らせます。 3：× キャッシュしたWebページをクリアすると、共用PCで他人に閲覧される危険は減らせます。 しかし、自分専用のPCでは効果が小さく、セッションIDが有効なままなので乗っ取りは防げません。 4：× WebブラウザにセッションIDを保存しても、IDは有効なままです。 むしろ保存した情報が盗まれる危険が増えます。 【ポイント】 セッションIDはログアウト時に無効化し、ログイン成功時には新しいIDを発行し直すことが基本です。 後者はセッション固定攻撃の対策になります。