情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成29年度春期 午前Ⅱ 問5: セッション ID の固定化（Session Fixation）攻撃の手口はどれか。

正解

ウ. 悪意のある者が正規の Web サイトから取得したセッション ID を，利用者の Web ブラウザに送り込み，利用者がそのセッション ID でログインして，セッションがログイン状態に変わった後，利用者になりすます。

正答率 100.0%（1人中 1人が正解）

問題の解説

セッションIDの固定化攻撃は、攻撃者が事前に取得した有効なセッションIDを利用者のブラウザに埋め込み、利用者がそのIDのままログインするのを待ち、認証後のセッションを乗っ取る手口。ウがこの流れを正しく述べている。対策はログイン成功時にセッションIDを必ず再発行することで、これにより攻撃者が知るIDは無効になる。

選択肢ごとの解説

• アSecure属性のないCookieが平文で漏れるのは盗聴の問題で、IDを固定させる攻撃ではない。
• イURL中のセッションIDがRefererで漏れる話で、固定化ではなくID漏えいの問題である。
• ウ事前に用意したIDを利用者に使わせ、ログイン後に乗っ取る流れがまさに固定化攻撃で、正解。
• エ推測しやすいIDを当てるのはセッションID推測であり、固定化とは異なる手口。