セッションハイジャック防止のためのログアウト時Cookie無効化処理

利用者のログアウト時にセッション乗っ取り(セッションハイジャック)を防ぐために行うべき処理は「WebサーバにおいてセッションIDを無効にする」です。 利用者が明示的にログアウトを要求した際、Webサーバ側で保持しているセッション管理テーブル上の該当セッションIDおよびセッション情報を完全に破棄・無効化(invalidate)することが極めて重要です。 サーバ側で無効化処理を行わない場合、たとえブラウザ上でクッキーを削除したり画面を閉じたりしてもサーバ側でセッションが有効なまま残り、悪意ある第三者が盗聴やXSS等で事前にセッションIDを取得していた場合に、正規利用者のログアウト後もなりすましてアクセスし続けることが可能になってしまいます。 ログアウト後もセッションIDを内蔵ストレージに有効な状態で残し続けると、悪用される危険性が残るため不適切です。 Webブラウザのキャッシュクリアは画面表示情報の保護には役立ちますが、サーバ側のセッションID自体は有効なまま維持されるため、セッション乗っ取りの根本対策にはなりません。 Webブラウザ側にセッションIDを保存し続けることは、セッション再利用や漏洩のリスクを高めるため不適切です。

Webシステムにおいて,セッションの乗っ取りの機会を減らすために,利用者のログアウト時にWebサーバ又はWebブラウザにおいて行うべき処理はどれか。ここで,利用者は自分専用のPCにおいて,Webブラウザを利用しているものとする。

出典令和3年度 春期 応用情報技術者試験 午前 問44
ア
WebサーバにおいてセッションIDを内蔵ストレージに格納する。
イ
WebサーバにおいてセッションIDを無効にする。
ウ
WebブラウザにおいてキャッシュしているWebページをクリアする。
エ
WebブラウザにおいてセッションIDを内蔵ストレージに格納する。