セッション乗っ取り対策

セッション乗っ取り(セッションハイジャック)は、攻撃者が何らかの方法で正規ユーザーのセッションIDを盗み出し、そのユーザーになりすましてWebシステムに不正アクセスする攻撃です。 これを防ぐ効果的な対策の一つは、セッションの有効期間を最小限に抑えることです。利用者がログアウトの操作を行った際、Webサーバ側でそのセッションIDを速やかに無効(破棄)にすることで、万が一セッションIDが第三者に漏洩したとしても、ログアウト後であればそのIDを使った不正アクセスは不可能になります。したがって、「Web サーバにおいてセッションIDを無効にする」が最も適切な処理です。 ブラウザ側のキャッシュをクリアすること(ウ)も情報漏洩対策としては意味がありますが、セッションID自体のシステム上の有効性を断ち切るわけではないため、乗っ取りの根本的な対策にはなりません。

Web システムにおいて、セッションの乗っ取りの機会を減らすために、利用者のログアウト時に Web サーバ又は Web ブラウザにおいて行うべき処理はどれか。ここで、利用者は自分専用のPCにおいて、Webブラウザを利用しているものとする。

出典令和3年度 春期 高度情報処理技術者試験 午前1
ア
Web サーバにおいてセッションIDを内蔵ストレージに格納する。
イ
Web サーバにおいてセッションIDを無効にする。
ウ
Web ブラウザにおいてキャッシュしている Web ページをクリアする。
エ
Web ブラウザにおいてセッションIDを内蔵ストレージに格納する。