応用情報技術者試験 応用情報技術者試験 平成30年度春期 午前 問43: Web システムにおいて，セッションの乗っ取りの機会を減らすために，利用者のログアウト時に Web サーバ又は Web ブラウザにおいて行うべき処理はどれか。こ

正解

イ. Web サーバにおいてセッション ID を無効にする。

正答率 81.7%（469人中 383人が正解）

問題の解説

セッションハイジャックは、盗まれたり推測されたりしたセッション ID を使って、利用者になりすます攻撃である。ログアウト時に Web サーバ側でその ID を無効にしておけば、以後その ID が送られても受け付けられないので、乗っ取りの機会を減らせる。ID の保存やキャッシュの消去では、この対策にならない。

選択肢ごとの解説

• アサーバ側で ID をディスクに保存しても、ID は有効なままで、乗っ取りを防げない。無効にするのではなく残すことになる。
• イ正しい。ログアウト時に Web サーバが ID を無効にすれば、盗まれた ID が以後使えなくなる。
• ウブラウザのキャッシュを消しても、サーバ側の ID は有効なままで、乗っ取りへの対策にならない。
• エブラウザで ID をディスクに保存すると、PC から ID を盗まれる恐れが増え、むしろ危険である。