平成30年度 春期 応用情報技術者試験 午前 問43
テクノロジ／セキュリティWeb システムにおいて，セッションの乗っ取りの機会を減らすために，利用者のログアウト時に Web サーバ又は Web ブラウザにおいて行うべき処理はどれか。ここで，利用者は自分専用の PC において，Web ブラウザを利用しているものとする。
出典：平成30年度 春期 応用情報技術者試験 午前 問43
- アWeb サーバにおいてセッション ID をディスクに格納する。
- イWeb サーバにおいてセッション ID を無効にする。
- ウWeb ブラウザにおいてキャッシュしている Web ページをクリアする。
- エWeb ブラウザにおいてセッション ID をディスクに格納する。
正解：イ
解説
セッション乗っ取りを防ぐには，利用者がログアウトした時点でWebサーバ側がそのセッションIDを無効化し，たとえ第三者にセッションIDが漏えいしても再利用できないようにすることが重要です。
選択肢ごとの解説
- ア誤り。セッションIDをディスクに格納することは，情報の永続化に関する処理であり，ログアウト時にセッションの乗っ取りを防ぐ対策にはなりません。
- イ正しい。ログアウト時にWebサーバ側でセッションIDを無効にすることで，そのセッションIDが漏えいしていても再利用（乗っ取り）できなくなります。
- ウ誤り。ブラウザのキャッシュをクリアすることは，閲覧履歴等の情報漏えい対策にはなりますが，サーバ側で有効なセッションIDそのものを無効化するものではありません。
- エ誤り。セッションIDをブラウザ側のディスクに格納することは，むしろ盗み出されるリスクを高める行為であり，対策とは逆効果です。