セッションハイジャックとは？せっしょんはいじゃっく
セッションハイジャックとは、通信の途中で正規利用者の識別子（セションID）を手に入れ、それを載せた要求を送って本人として振る舞う攻撃。パスワードを知らなくても成立するのが要点で、経路上の盗聴のほか、採番の規則性からの推測、スクリプトによる窃取、ログイン前後で識別子が変わらない実装の欠陥（セション固定）が入口になる。
最終更新：2026-10-06
ネットワークSPを最短で暗記・合格する →背景
HTTPは1要求ごとに完結する仕組みで、サーバは前の要求と今の要求が同じ人のものだと判断できない。そこでログイン時に発行した識別子を持ち回らせることにした結果、本人性の証明が1本の文字列に集約された。証明が1本に集約された以上、それが経路上を平文で流れれば、拾った側がそのまま本人になれる。ネスペでは、無線区間や公衆網の暗号化、負荷分散装置でのセション維持の設計と絡めて問われる。
具体例
社内無線LANを共有のパスフレーズだけで運用していると、同じ電波を受けている端末が業務システムのCookieを拾える。対策は全区間のTLS化とHSTS、Cookieへのsecure属性・HttpOnly属性、ログイン成功時の識別子の再発行を組み合わせること。負荷分散装置でセションを維持する場合も、識別子を平文のヘッダへ露出させない。
試験での引っ掛け
負荷分散装置の「セション維持」は同じ利用者を同じサーバへ振り分ける機能で、攻撃としてのセションハイジャックとは別物である。また送信元IPアドレスでセションを縛る対策は、モバイル回線やプロキシで出口アドレスが変わる正規利用者を落とすため、単独では使えない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。