情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成29年度秋期 午前Ⅱ 問14: 攻撃者が，Web アプリケーションのセッションを乗っ取り，そのセッションを利用してアクセスした場合でも，個人情報の漏えいなどに被害が拡大しないようにするために，

正解

エ. パスワードによる利用者認証を行う。

正答率 0.0%（1人中 0人が正解）

問題の解説

セッションを乗っ取られても被害拡大を防ぐには、重要情報を表示する直前で改めて本人確認を行う多層的な防御が有効。攻撃者がセッションを奪っていても、パスワード(本人しか知らない情報)による再認証を要求すれば、その先の重要画面には進めない。よってエが正しい。実務では決済や個人情報閲覧などの重要操作前に再認証や追加認証を挟む設計が定石である。

選択肢ごとの解説

• ア通信暗号化は盗聴対策で、既にセッションを奪った攻撃者の操作は防げず追加対策にならず誤り。
• イセッションIDをCookieに格納するのは通常の発行方法で、乗っ取り後の被害拡大は防げず誤り。
• ウセッションIDをURLのクエリに付けるのは漏えいを招く悪手で、対策どころか危険で誤り。
• エ重要画面の直前でパスワード認証を行い乗っ取り後の操作を阻む追加対策として最も適切で正解。