応用情報技術者試験 応用情報技術者試験 令和3年度春期 午前 問44: Web システムにおいて，セッションの乗っ取りの機会を減らすために，利用者のログアウト時に Web サーバ又は Web ブラウザにおいて行うべき処理はどれか。こ

正解

イ. Web サーバにおいてセッション ID を無効にする。

正答率 78.8%（203人中 160人が正解）

問題の解説

セッションハイジャックでは、盗まれたセッション ID を使って、正規の利用者になりすまされる。ログアウト時にサーバ側でそのセッション ID を無効にすれば、盗まれた ID があとから使われても受け付けず、乗っ取りの機会を減らせる。ストレージへの保存やキャッシュの消去では、サーバ側の ID が有効なままなので対策にならない。

選択肢ごとの解説

• アサーバが ID を内蔵ストレージに格納しても、ログアウト後も ID が有効であれば、乗っ取りの機会は減らない。
• イ正しい。ログアウト後は、盗まれたセッション ID を使ってもサーバが受け付けないため、乗っ取りを防げる。
• ウブラウザのキャッシュをクリアしても、サーバ側のセッション ID は有効なままで、その ID が盗まれていれば使われてしまう。
• エブラウザがセッション ID を内蔵ストレージに格納すると、ID が残り続けて盗まれる機会がかえって増える。