応用情報技術者試験 応用情報技術者試験 平成28年度春期 午前 問41: Web アプリケーションのセッションが攻撃者に乗っ取られ，攻撃者が乗っ取ったセッションを利用してアクセスした場合でも，個人情報の漏えいなどの被害が拡大しないよう

正解

エ. パスワードによる利用者認証を行う。

正答率 79.9%（374人中 299人が正解）

問題の解説

セッションを乗っ取られると、攻撃者は正規の利用者になりすまして Web アプリケーションを使える。通信の暗号化やセッション ID の管理方法だけでは、すでに乗っ取られたセッションは防げない。重要な情報を送る直前に、攻撃者が知らないパスワードで改めて利用者を認証すれば、乗っ取られたセッションでも被害の拡大を防げる。

選択肢ごとの解説

• ア通信の暗号化は盗聴を防ぐが、攻撃者が乗っ取ったセッションで直接アクセスした場合は、暗号化された通信を通じて情報を受け取れてしまう。
• イセッション ID を Cookie に格納するのは通常のセッション管理で、ID を奪われた後の被害拡大を防ぐ対策ではない。
• ウセッション ID を URL に設定すると、ログや Referer などから ID が漏れやすくなり、かえって乗っ取りの危険が増す。
• エ正しい。重要な情報を送る直前にパスワードで再認証すれば、セッションを乗っ取った攻撃者はパスワードを知らないので、情報を取得できない。