修了試験 2025-12-14実施分 基本情報技術者試験 問33

解説

正解は4です。 セッションが乗っ取られた後でも、被害の拡大を防ぐための対策を問う問題です。 攻撃者はセッションIDを盗むことで、本人になりすましてWebアプリケーションを利用します。 重要な情報を表示する直前に、改めて本人確認を求めれば、セッションIDだけでは先に進めなくなります。 【選択肢別解説】 1：× 通信の暗号化は、通信経路でのセッションIDの盗聴を防ぐ対策です。 乗っ取られた後のアクセスによる被害の拡大は防げません。 2：× セッションIDをcookieに格納するのは、一般的なセッション管理の方法です。 乗っ取られた後の被害を防ぐ追加的な対策にはなりません。 3：× セッションIDをURLのクエリ文字列に入れると、Refererヘッダなどから漏れやすくなります。 被害の拡大を防ぐどころか、乗っ取りの危険を高めます。 4：○ 重要な情報の表示前にパスワードで再認証を行えば、パスワードを知らない攻撃者はそれ以上進めません。 セッションを乗っ取られても被害の拡大を防げます。 【ポイント】 重要な操作の前に行う再認証は、セッションハイジャックの被害を限定する有効な対策です。 セッションIDはURLに含めず、cookieで管理するのが基本です。