攻撃者が，Webアプリケーションのセッションを乗っ取り，そのセッションを利用してアクセスした場合でも，個人情報の漏えいなどに被害が拡大しないようにするために，重要な情報の表示などをする画面の直前でWebアプリケーションが追加的に行う対策として，最も適切なものはどれか。
選択肢
- アWebブラウザとの間の通信を暗号化する。
- イ発行済セッションIDをCookieに格納する。
- ウ発行済セッションIDをHTTPレスポンスボディ中のリンク先のURIのクエリ文字列に設定する。
- エパスワードによる利用者認証を行う。
正解と解説
正解：エ パスワードによる利用者認証を行う。
セッションIDを盗まれてセッションを乗っ取られた場合、そのセッションだけでアクセスできる範囲がそのまま被害になる。そこで個人情報の表示や決済など重要な処理の直前で、パスワード入力による再認証を求めれば、セッションIDだけを持つ攻撃者は先へ進めず被害の拡大を防げる。
選択肢ごとの解説
- ア通信の暗号化は盗聴対策であり、既にセッションを奪われた後の被害拡大は防げない。
- イCookieへのID格納は保存場所の話にすぎず、乗っ取られた後の防御にはならない。
- ウURLのクエリ文字列にセッションIDを載せるのはRefererなどからの漏えいを招く危険な実装。
- エ正解。重要画面の直前に再認証を挟めば、セッションIDだけでは先へ進めない。
この問題に出た用語
同じ分野の他の問題
- クロスサイトリクエストフォージェリ攻撃の対策として,効果がないものはどれか。2025年度 秋期 午前Ⅱ 問16
- クリックジャッキング攻撃に有効な対策はどれか。2022年度 秋期 午前Ⅱ 問11
- WAFにおけるフォールスポジティブに該当するものはどれか。2024年度 秋期 午前Ⅱ 問12
- Webサーバから送信されるHTTPヘッダーのうち、Webサーバからの応答の内容を、Webブラウザやプロキシサーバなどのキ…2024年度 春期 午前Ⅱ 問20
- HTTP Strict Transport Security(HSTS)の動作はどれか。2024年度 春期 午前Ⅱ 問13
出典・参考
最終更新：2026-10-06／解説・選択肢ごとの解説は資格暗記が独自に作成しています。問題文と選択肢の出典は上記のとおりです。