平成29年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問14
テクノロジ／セキュリティ攻撃者が，Web アプリケーションのセッションを乗っ取り，そのセッションを利用してアクセスした場合でも，個人情報の漏えいなどに被害が拡大しないようにするために，重要な情報の表示などをする画面の直前で Web アプリケーションが追加的に行う対策として，最も適切なものはどれか。
出典：平成29年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問14
- アWeb ブラウザとの間の通信を暗号化する。
- イ発行済セッション ID を Cookie に格納する。
- ウ発行済セッション ID を HTTP レスポンスボディ中のリンク先の URI のクエリ文字列に設定する。
- エパスワードによる利用者認証を行う。
正解：エ
解説
セッションハイジャックによって攻撃者に不正にログイン状態を乗っ取られた場合でも，個人情報など重要な情報を表示する直前の画面において，改めてパスワードなどによる利用者認証を行うことで，正規の利用者本人であることを再確認でき，被害の拡大を防ぐことができます。
選択肢ごとの解説
- ア誤り。通信の暗号化は盗聴対策であり，セッションが乗っ取られた後の不正利用そのものは防げません。
- イ誤り。セッションIDをCookieに格納すること自体は一般的な実装方法であり，乗っ取り後の被害拡大防止策ではありません。
- ウ誤り。セッションIDをURLのクエリ文字列に含める方法は，Refererなどを通じてセッションIDが漏えいするリスクを高める，むしろ不適切な実装です。
- エ正しい。重要な情報を表示する直前でパスワードによる利用者認証を改めて行うことで，セッションを乗っ取った攻撃者による被害拡大を防げます。