情報セキュリティ
基本情報技術者試験｜あるWebアプリは、利用者が最初にアクセスした時点でセッションIDを発行し、その後ログインに成功してもセッション…
あるWebアプリは、利用者が最初にアクセスした時点でセッションIDを発行し、その後ログインに成功してもセッションIDを変えずに使い続ける。攻撃者が事前に用意したセッションIDを被害者に使わせ、被害者のログイン後にそのIDで成りすます攻撃が懸念される。この攻撃を防ぐ対策として、最も適切なものはどれか。
エ認証が成立した時点で識別子を別の値に切り替え、それ以前の値は通用しないようにする。
ア識別子を画面遷移のたびにURLのパラメータとして引き回し、現在の値を都度受け渡す方式にする。
イログイン画面でより複雑なパスワードを要求し、認証に用いる秘密そのものの強度を高める。
ウ識別子の桁数を増やして取り得る値の空間を広げ、当て推量で言い当てられにくくする。
正解
エ．認証が成立した時点で識別子を別の値に切り替え、それ以前の値は通用しないようにする。
セッション固定攻撃は、攻撃者が用意したセッションIDを被害者に使わせ、被害者の認証後もそのIDが有効なままである点を突く。認証が成立した時点でセッションIDを別の値へ切り替え、それ以前の値を無効化すれば、攻撃者が仕込んだIDは認証済みセッションと結び付かず、成りすましが成立しなくなる。原因に直接対応した対策である。
?選択肢ごとの解説
エ ○セッション固定攻撃は、攻撃者が用意したセッションIDを被害者に使わせ、被害者の認証後もそのIDが有効なままである点を突く。認証が成立した時点でセッションIDを別の値へ切り替え、それ以前の値を無効化すれば、攻撃者が仕込んだIDは認証済みセッションと結び付かず、成りすましが成立しなくなる。原因に直接対応した対策である。
ア ×識別子をURLに含めて引き回すのはむしろ漏えいや固定を助長し、攻撃者が任意のIDを被害者に踏ませやすくなるため逆効果である。
イ ×パスワード強度の向上は認証情報の推測対策であり、認証情報を知らなくても既知のセッションIDを再利用するセッション固定攻撃は防げない。
ウ ×識別子の桁数拡大は値の当て推量（セッションIDの予測）への対策であり、攻撃者が自ら用意したIDを使わせる固定攻撃には効果がない。
情報セキュリティの他の問題
あるWebアプリには、利用者が指定したURLの画像を取得してプレビュー表示する機能がある。攻撃者がこの機能に社内ネットワーク…あるWebアプリは、利用者が入力したホスト名に対してサーバ上でネットワーク疎通確認コマンドを実行し、その結果を画面に表示する…あるWebアプリは、利用者のブラウザに保存させた状態データを、サーバ受信時にそのままオブジェクトへ復元（デシリアライズ）して…ある会員サイトで、攻撃者が用意した別ページに会員サイトの操作画面を透明な枠として重ね、利用者が無関係なボタンと思って押した操…あるWebサービスでは出力時のエスケープを進めているが、開発規模が大きく、万一エスケープ漏れが残った場合にスクリプト実行によ…あるWebサービスはHTTPSに対応済みだが、利用者がアドレス欄にホスト名だけを入力した最初のアクセスがHTTPで行われ、そ…あるサイトの検索結果画面は、利用者がURLで渡した検索語を『〇〇の検索結果』という形でHTML本文にそのまま出力している。細…あるWebアプリの一覧画面は、利用者が選んだ並べ替え対象の列名をSQL文のORDER…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0100