情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和3年度春期 午前Ⅰ 問15: Webシステムにおいて，セッションの乗っ取りの機会を減らすために，利用者のログアウト時にWebサーバ又はWebブラウザにおいて行うべき処理はどれか。ここで，利用

正解

イ. WebサーバにおいてセッションIDを無効にする。

問題の解説

セッションの乗っ取りを防ぐには、ログアウト時にサーバ側で当該セッションIDを無効化(破棄)し、以後そのIDを再利用できないようにすることが本質的に有効。よってイが正解。クライアント側でキャッシュを消したりIDを保管したりしても、サーバがIDを有効なまま保持していれば盗まれたIDで不正利用される。サーバ主導のセッション失効はセッション管理の基本対策である。

選択肢ごとの解説

• アサーバでセッションIDをストレージに格納するだけでは無効化されず、乗っ取りの機会は減らない。
• イログアウト時にサーバ側でセッションIDを無効にすれば盗用された後の不正利用を防げ、正しい。
• ウブラウザのページキャッシュ削除は情報残存対策にはなるが、サーバ側セッションは有効なままで不十分。
• エブラウザでセッションIDを保管することはむしろID残存のリスクで、乗っ取り対策にならず誤り。