平成28年度 春期 応用情報技術者試験 問41

解説

正解は4です。 セッションが乗っ取られた後でも、被害の拡大を防ぐための対策を問う問題です。 攻撃者は既にセッションを手に入れているので、セッション以外の手段で本人を確認し直す必要があります。 【選択肢別解説】 1：× 通信の暗号化は盗聴を防ぐ対策です。 乗っ取られたセッションでアクセスされた場合、攻撃者にも正しく復号された情報が届いてしまいます。 2：× セッションIDをCookieに格納するのは、一般的なセッション管理の方法です。 乗っ取られた後の不正アクセスを防ぐ効果はありません。 3：× セッションIDをURLに設定すると、Refererヘッダなどから漏えいしやすくなります。 乗っ取りの危険性がむしろ高まります。 4：○ 重要な情報を送る直前にパスワードで再認証すれば、パスワードを知らない攻撃者はそこで止められます。 これにより、個人情報の漏えいなどの被害拡大を防げます。 【ポイント】 重要な操作の前にパスワードを再入力させる対策は、セッションハイジャックへの備えとして広く使われています。 ログイン後にセッションIDを再発行することも、セッション固定攻撃への対策として重要です。