平成29年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問5
テクノロジ／セキュリティセッション ID の固定化（Session Fixation）攻撃の手口はどれか。
出典：平成29年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問5
- アHTTPS 通信で Secure 属性がない Cookie にセッション ID を格納する Web サイトにおいて，HTTP 通信で送信されるセッション ID を悪意のある者が盗聴する。
- イURL パラメタにセッション ID を格納する Web サイトにおいて，Referer によってリンク先の Web サイトに送信されるセッション ID が含まれた URL を，悪意のある者が盗用する。
- ウ悪意のある者が正規の Web サイトから取得したセッション ID を，利用者の Web ブラウザに送り込み，利用者がそのセッション ID でログインして，セッションがログイン状態に変わった後，利用者になりすます。
- エ推測が容易なセッション ID を生成する Web サイトにおいて，悪意のある者がセッション ID を推測し，ログインを試みる。
正解：ウ
解説
セッション ID の固定化（Session Fixation）攻撃は，攻撃者が正規の Web サイトから事前に取得しておいたセッション ID を，何らかの方法で利用者のブラウザに送り込み（固定化し），その利用者がそのセッション ID のままログインしてセッションが認証済み状態に変わったところで，攻撃者が同じセッション ID を使ってなりすます手口です。
選択肢ごとの解説
- ア誤り。Secure 属性のない Cookie の HTTP 通信を盗聴する手口はセッション ID の盗聴であり，固定化攻撃ではありません。
- イ誤り。Referer 経由でセッション ID を含む URL が漏えいする手口はセッション ID の漏えい（Referer 経由の漏えい）であり，固定化攻撃ではありません。
- ウ正しい。攻撃者が取得したセッション ID を利用者に送り込み，ログイン後にそのセッション ID で利用者になりすますのがセッション ID の固定化攻撃です。
- エ誤り。セッション ID を推測してログインを試みる手口はセッションハイジャックの一種（推測によるセッションハイジャック）であり，固定化攻撃ではありません。