セッションフィクセーションとは？

セッションフィクセーションの意味

攻撃者があらかじめ取得したセッションIDを被害者に使わせ、被害者がその状態でログインした後に、同じIDを用いてなりすます攻撃。

セッションフィクセーションの具体例

会員サイトがURLパラメータのセッションIDをそのまま受け入れており、攻撃者が用意したIDを含むリンクを踏んだ利用者がログインすると乗っ取られた。ログイン成功時にセッションIDを必ず再発行し、URL経由の受け渡しを廃止して塞いだ。

セッションフィクセーションは試験でどう引っ掛けられる？

「攻撃者がIDを盗む」のではなく「攻撃者が知っているIDを使わせる」点が特徴。認証成功時のセッションID再発行が決定的な対策になる。

セッションフィクセーションと関連する用語

• セッションハイジャック
• セッション管理

セッションフィクセーションが出た過去問

• セッションIDの固定化（Session Fixation）攻撃の手口はどれか。

  正解：悪意のある者が正規のWebサイトから取得したセッションIDを，利用者のWebブラウザに送り込み，利用者がそのセッションIDでログインして，セッションがログイン状態に変わった後，利用者になりすます。

  要点：既知のIDでログインさせ後からなりすます攻撃

  セッションIDの固定化は、攻撃者があらかじめ入手した有効なセッションIDを利用者のブラウザに埋め込ませ、その利用者がそのIDのままログインするのを待つ攻撃です。ログイン後もIDが変わらなければ、同じIDを持つ攻撃者がなりすませます。対策はログイン成功時にセッションIDを再発行することです。

  出典：平成29年度 春期 情報処理安全確保支援士試験 am2 問5（IPA）

• 安全なWebアプリケーションの作り方について,攻撃と対策の適切な組合せはどれか。

  正解：SQLインジェクション ─ SQL文の組立てに静的プレースホルダを使用する。

  要点：SQLインジェクション対策の本命は静的プレースホルダ

  SQLインジェクションの根本対策は、SQL文の骨格をあらかじめ確定させ、値を後から安全に埋め込むプレースホルダの利用である。特に静的プレースホルダはデータベースエンジン側でSQL文を先に構文解析するため、値に何が入っても構文が変化せず、確実に攻撃を防げる。他の三つは、外部リソースの無制限な取り込み、状態変更へのGETの使用、セッションIDの固定化と、いずれも脆弱性を招く実装である。

  出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問12（IPA）