セッション ID

セッション IDは、Webアプリケーションが、一連の要求を同じ利用者のものとして結び付けるために発行する識別子です。

■ 試験で押さえるポイント

• 推測されにくい乱数で作り、通常はCookieで送ります。

• ログインに成功したら新しいIDに変えて、セッション固定攻撃を防ぎます。

• URLにIDを含めると、履歴やログから漏れるため避けます。

■ 選択肢での判断ポイント

IDが盗まれるセッションハイジャックと、IDを固定されるセッション固定攻撃を区別します。