攻撃者が，Webアプリケーションのセッションを乗っ取り，そのセッションを利用してアクセスした場合でも，個人情報の漏えいなどに被害が拡大しないようにするために，重要な情報の表示などをする画面の直前でWebアプリケーションが追加的に行う対策として，最も適切なものはどれか。

選択肢

• アWebブラウザとの間の通信を暗号化する。
• イ発行済セッションIDをCookieに格納する。
• ウ発行済セッションIDをHTTPレスポンスボディ中のリンク先のURIのクエリ文字列に設定する。
• エパスワードによる利用者認証を行う。

正解と解説

正解：エ パスワードによる利用者認証を行う。

セッションIDを盗まれてセッションを乗っ取られた場合、そのセッションだけでアクセスできる範囲がそのまま被害になる。そこで個人情報の表示や決済など重要な処理の直前で、パスワード入力による再認証を求めれば、セッションIDだけを持つ攻撃者は先へ進めず被害の拡大を防げる。

選択肢ごとの解説

• ア通信の暗号化は盗聴対策であり、既にセッションを奪われた後の被害拡大は防げない。
• イCookieへのID格納は保存場所の話にすぎず、乗っ取られた後の防御にはならない。
• ウURLのクエリ文字列にセッションIDを載せるのはRefererなどからの漏えいを招く危険な実装。
• エ正解。重要画面の直前に再認証を挟めば、セッションIDだけでは先へ進めない。

同じ分野の他の問題

• クロスサイトリクエストフォージェリ攻撃の対策として,効果がないものはどれか。2025年度 秋期 午前II 問16
• クリックジャッキング攻撃に有効な対策はどれか。2022年度 秋期 午前II 問11
• WAFにおけるフォールスポジティブに該当するものはどれか。2024年度 秋期 午前II 問12
• Webサーバから送信されるHTTPヘッダーのうち、Webサーバからの応答の内容を、Webブラウザやプロキシサーバなどのキ…2024年度 春期 午前II 問20
• HTTP Strict Transport Security(HSTS)の動作はどれか。2024年度 春期 午前II 問13