Webシステムにおいて、セッションの乗っ取りの機会を減らすために、利用者のログアウト時にWebサーバ又はWebブラウザにおいて行うべき処理はどれか。ここで、利用者は自分専用のPCにおいて、Webブラウザを利用しているものとする。

選択肢

• アWebサーバにおいてセッションIDを内蔵ストレージに格納する。
• イWebサーバにおいてセッションIDを無効にする。
• ウWebブラウザにおいてキャッシュしているWebページをクリアする。
• エWebブラウザにおいてセッションIDを内蔵ストレージに格納する。

正解と解説

正解：イ WebサーバにおいてセッションIDを無効にする。

セッションの乗っ取りは、有効なセッションIDを第三者に悪用されることで成立する。したがってログアウト時には、サーバ側でそのセッションIDを無効化（破棄）し、以後同じIDを提示されても認証済みとして扱わないようにすることが本質的な対策になる。IDを消さずにブラウザ側だけで処理しても、盗まれたIDはサーバで有効なままである。

選択肢ごとの解説

• アセッションIDをストレージへ保存することはむしろ漏えいの機会を増やし、乗っ取り対策にならない。
• イ正解。サーバ側でセッションIDを無効にすれば、盗まれたIDを再利用されても認証済みとみなされない。
• ウキャッシュの消去は画面内容の覗き見対策にはなるが、サーバ側で有効なセッションIDは無効化されない。
• エブラウザ側にセッションIDを残すのは逆効果で、ログアウト時に行うべき処理ではない。

同じ分野の他の問題

• 電子メールの送信時に、送信側メールサーバでデジタル署名を電子メールヘッダーに付与し、受信側メールサーバでそれを検証するこ…2025年度 秋期 問15
• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）における真正性及び信頼性に対する定義a〜d…2025年度 秋期 問14
• デジタル署名が付与されたソフトウェアをインストールするときに、そのソフトウェアの発行元を確認するために使用する証明書はど…2025年度 秋期 問13
• サイバー攻撃の攻撃段階をモデル化したサイバーキルチェーンにおいて、“エクスプロイト”に該当する行為はどれか。2025年度 秋期 問12
• VPNで使用されるプロトコルであるIPsec, L2TP, TLSの、OSI基本参照モデルにおける相対的な位置関係はどれ…2025年度 春期 問15