情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成30年度春期 午前Ⅰ 問15: Webシステムにおいて，セッションの乗っ取りの機会を減らすために，利用者のログアウト時にWebサーバ又はWebブラウザにおいて行うべき処理はどれか。ここで，利用

正解

イ. WebサーバにおいてセッションIDを無効にする。

問題の解説

セッション乗っ取りを減らすには、ログアウト時にサーバ側で当該セッションIDを無効化(破棄)し、以後そのIDを使えなくするのが本質的な対策。これを述べたイが正解。クライアント側の操作だけではサーバに残ったセッションが悪用され得るため、サーバ主導の失効が重要。実務ではログアウト時のセッション破棄とCookie削除を併用する。

選択肢ごとの解説

• アセッションIDをディスクに保存すると残存・流出の恐れが増し、乗っ取り対策に逆行するため誤り。
• イサーバ側でセッションIDを無効化すれば以後悪用できず、乗っ取り防止に有効で正解。
• ウブラウザのページキャッシュ削除は情報残留対策にはなるが、セッション失効そのものではなく誤り。
• エブラウザでセッションIDをディスクに格納すると永続化し漏えい時の危険が増すため誤り。