令和3年度 春期 応用情報技術者試験 午前 問44
テクノロジ／セキュリティWeb システムにおいて，セッションの乗っ取りの機会を減らすために，利用者のログアウト時に Web サーバ又は Web ブラウザにおいて行うべき処理はどれか。ここで，利用者は自分専用の PC において，Web ブラウザを利用しているものとする。
出典：令和3年度 春期 応用情報技術者試験 午前 問44
- アWeb サーバにおいてセッション ID を内蔵ストレージに格納する。
- イWeb サーバにおいてセッション ID を無効にする。
- ウWeb ブラウザにおいてキャッシュしている Web ページをクリアする。
- エWeb ブラウザにおいてセッション ID を内蔵ストレージに格納する。
正解：イ
解説
セッション乗っ取り（セッションハイジャック）は，有効なセッション ID を第三者が悪用する攻撃です。ログアウト時に Web サーバ側でそのセッション ID を無効にすれば，以降は盗まれたセッション ID が使われても認証済みとして扱われないため，乗っ取りの機会を減らせます。
選択肢ごとの解説
- ア誤り。サーバでセッション ID をストレージに格納して残すことは，無効化とは逆にセッションを有効なまま保持することになります。
- イ正しい。ログアウト時にサーバ側でセッション ID を無効にすれば，盗まれたセッション ID を悪用される機会を減らせます。
- ウ誤り。ブラウザのキャッシュクリアは表示内容の残留対策であり，サーバ側で有効なままのセッション ID の悪用は防げません。
- エ誤り。ブラウザでセッション ID をストレージに格納して残すことは，むしろ漏えいのリスクを高めます。