Webアプリケーションのセッションが攻撃者に乗っ取られ，攻撃者が乗っ取ったセッションを利用してアクセスした場合でも，個人情報の漏えいなどの被害が拡大しないようにするために，Webアプリケーションが重要な情報をWebブラウザに送信する直前に行う対策として，最も適切なものはどれか。

選択肢

• アWebブラウザとの間の通信を暗号化する。
• イ発行済セッションIDをCookieに格納する。
• ウ発行済セッションIDをURLに設定する。
• エパスワードによる利用者認証を行う。

正解と解説

正解：エ パスワードによる利用者認証を行う。

セッションが乗っ取られている前提では、セッションIDの管理方法をどう工夫しても情報の閲覧は止められない。重要情報を返す直前にパスワードによる再認証を求めれば、本人しか知らない情報を持たない攻撃者は先へ進めず、被害の拡大を防げる。

選択肢ごとの解説

• ア通信路の盗聴は防げるが、正規のセッションを持つ攻撃者には効果がない。
• イセッションIDの保護方法であり、乗っ取られた後の被害拡大は防げない。
• ウURLへの埋込みはリファラなどからの漏えいを招き、かえって危険である。
• エ正しい。重要情報の送信直前に再認証することで攻撃者を排除できる。

この問題に出た用語

• URL
• Cookie（Secure属性・HttpOnly属性・SameSite属性）
• 利用者認証（多要素認証・バイオメトリクス認証）
• セッションID

同じ分野の他の問題

• 電子メールの送信時に、送信側メールサーバでデジタル署名を電子メールヘッダーに付与し、受信側メールサーバでそれを検証するこ…2025年度 秋期 午前 問45
• デジタルフォレンジックスの手順は収集、検査、分析及び報告から成る。このとき、デジタルフォレンジックスの手順に含まれるもの…2025年度 秋期 午前 問44
• 脆弱性検査で、ホストに対してポートスキャンを行う。スキャンしたポートの状態を判定する方法のうち、適切なものはどれか。2025年度 秋期 午前 問43
• CSPM（Cloud Security Posture Management）はどれか。2025年度 秋期 午前 問42
• パスワードクラックの対策のうち，ストレッチングに該当するものはどれか。2025年度 春期 午前 問44