情報セキュリティマネジメント試験 科目A 情報セキュリティ全般 練習問題 第5問: Web アプリケーションの診断で、セッション ID の固定化攻撃に対して脆弱な実装が見つかった。この攻撃を防ぐための根本的な対策として、最も適切なものはどれか。

正解: 3. ログインに成功した時点で新しいセッションを開始し、前のセッション ID は無効にする。

「ログインに成功した時点で新しいセッションを開始し、前のセッション ID は無効にする」が適切です。IPA「安全なウェブサイトの作り方」改訂第7版は、ログイン前に発行したセッション ID をログイン後も使い続ける実装はセッション ID の固定化攻撃に脆弱な場合があるとし、ログイン成功時に新しいセッションを開始して既存のセッション ID を無効化する方法を根本的解決 4-(iv)-a に挙げています。推測が困難な ID の生成は推測への根本的解決 4-(i) です。セッション ID を固定値にしないことは、入手された ID でいつでもセッション・ハイジャックされるのを防ぐ保険的対策 4-(v) で、Cookie の有効期限の設定も保険的対策 4-(vi) です。どちらもログイン前の ID を使い続ける問題は解消しません。似た対策を、どの攻撃への根本的解決かで区別しましょう。

関連キーワード: セッション ID の固定化・根本的解決・保険的対策