修了試験 2022-06-12実施分 基本情報技術者試験 問42

解説

正解は2です。 セッションIDは、Webサーバが利用者のログイン状態を識別するための値です。 ログアウト後もセッションIDが有効なままだと、そのIDを盗んだ第三者がなりすましてアクセスできてしまいます。 そのため、ログアウト時にはWebサーバ側でセッションIDを無効にすることが重要です。 【選択肢別解説】 1：× Webサーバでセッション IDを内蔵ストレージに格納しても、IDは有効なままです。 盗まれたIDで乗っ取られる危険は減りません。 2：○ ログアウト時にWebサーバでセッション IDを無効にすれば、IDが盗まれていても使えなくなります。 セッションの乗っ取りの機会を確実に減らせます。 3：× Webブラウザのキャッシュをクリアすると、閲覧したページが他人に見られる危険は減ります。 しかし、利用者は自分専用のPCを使っており、サーバ側のセッション IDも有効なままなので、乗っ取り対策にはなりません。 4：× Webブラウザでセッション IDを内蔵ストレージに格納すると、IDが残り続けます。 かえって漏えいの危険が増え、乗っ取りの機会を減らすことにはなりません。 【ポイント】 セッション管理の対策は、推測困難なIDの使用、ログイン後のIDの再発行、ログアウト時のIDの無効化の3点が基本です。 無効化はブラウザ側ではなくサーバ側で行う点が重要です。