情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成28年度春期 午前Ⅰ 問14: Webアプリケーションのセッションが攻撃者に乗っ取られ，攻撃者が乗っ取ったセッションを利用してアクセスした場合でも，個人情報の漏えいなどの被害が拡大しないように

正解

エ. パスワードによる利用者認証を行う。

問題の解説

セッションを乗っ取られても被害を最小化するには、重要情報を返す直前に改めてパスワード等で本人確認(再認証)を行うのが有効。攻撃者はセッションを奪えても本人のパスワードは知らないため、機密表示を阻止できる。エが正解。通信暗号化やCookie格納はセッションID自体の保護で乗っ取り後の拡大防止には直結しない。重要操作の前に再認証を挟む多層防御の発想が要点。

選択肢ごとの解説

• ア通信暗号化は盗聴対策で、乗っ取り後の被害拡大は防げず誤り。
• イセッションIDのCookie格納はID保護策で再認証ではなく誤り。
• ウセッションIDをURLに置くのはむしろ漏えいを招き不適切で誤り。
• エ重要情報送信の直前に再認証すれば乗っ取り後の漏えいを防げ正解。