セッションフィクセーションとは？せっしょんふぃくせーしょん
セッションフィクセーションとは、攻撃者があらかじめ用意したセッションIDを利用者に使わせ、その利用者がログインした後に同じIDでなりすます攻撃。セッション固定化ともいう。IDを盗むのではなく「先に配る」点が特徴で、対策は認証成功時のセッションID再発行に尽きる。
最終更新：2026-10-06
応用情報を最短で暗記・合格する →具体例
https://example.com/?sid=ABC というURLを踏ませ、被害者がそのIDのままログインすると、攻撃者はIDを知っているだけで認証済み状態に入り込める。対策としてログイン直後に新しいIDを発行し、旧IDを破棄する。URLにIDを載せない設計も併せて必要になる。
試験での引っ掛け
セッションハイジャックの一種と説明されるが、盗聴や推測でIDを「得る」他の手口と違い、IDは最初から攻撃者が知っている。したがってIDの乱数強度を上げても防げず、再発行しない限り残る。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。