セッションフィクセーションとは？

セッションフィクセーションとは、攻撃者があらかじめ用意したセッションIDを利用者に使わせ、その利用者がログインした後に同じIDでなりすます攻撃。セッション固定化ともいう。IDを盗むのではなく「先に配る」点が特徴で、対策は認証成功時のセッションID再発行に尽きる。

せっしょんふぃくせーしょん

応用情報技術者試験の頻出用語／テクノロジ系

セッションフィクセーションの意味

攻撃者があらかじめ用意したセッションIDを利用者に使わせ、その利用者がログインした後に同じIDでなりすます攻撃。セッション固定化ともいう。IDを盗むのではなく「先に配る」点が特徴で、対策は認証成功時のセッションID再発行に尽きる。

https://example.com/?sid=ABC というURLを踏ませ、被害者がそのIDのままログインすると、攻撃者はIDを知っているだけで認証済み状態に入り込める。対策としてログイン直後に新しいIDを発行し、旧IDを破棄する。URLにIDを載せない設計も併せて必要になる。

セッションハイジャックの一種と説明されるが、盗聴や推測でIDを「得る」他の手口と違い、IDは最初から攻撃者が知っている。したがってIDの乱数強度を上げても防げず、再発行しない限り残る。

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。