セッション管理とは？せっしょんかんり
セッション管理とは、HTTPが状態を持たないため、識別子を発行して一連のリクエストを同一利用者として結び付ける仕組み。識別子の生成方法、格納場所、破棄のタイミングが弱いと、なりすましに直結するため設計上の要点になる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →具体例
識別子は暗号論的疑似乱数生成器で十分な長さを取り、URLではなくCookieへ入れる。ログイン成功時と権限昇格時に必ず再発行し、ログアウト時はサーバ側の実体も破棄する。無操作タイムアウトに加え、再認証を強制する絶対有効期限も設ける。
試験での引っ掛け
ブラウザ側のCookieを消すだけでは無効化にならず、サーバ側で識別子を失効させないと盗まれた値は使い続けられる。また識別子をURLに載せるとRefererやアクセスログから流出する。連番や利用者IDを元にした生成も推測されるため不可。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。