IT資格用語解説情報処理安全確保支援士試験・セッション・通信・なりすまし攻撃
セッション固定化攻撃とセッションハイジャック
更新日:
用語解説
セッションハイジャックは、ログインした後の利用者のセッションIDを盗んだり推測したりして、そのセッションを乗っ取り、本人として操作する攻撃です。
■ 試験で押さえるポイント
XSS、暗号化されていない通信、URLに含まれたセッションIDなどから盗まれます。
セッション固定攻撃は、攻撃者が用意したセッションIDを利用者に使わせてから、ログイン後に乗っ取る攻撃です。
ログインのたびにセッションIDを新しくし、CookieにSecureとHttpOnlyを付けて防ぎます。
■ 過去問での着眼点
パスワードを知らなくても、有効なセッションIDがあれば乗っ取られる点を押さえます。
例: ログインに成功したらセッションIDを新しく発行し直し、事前に用意されたIDを使えなくします。