平成28年度 春期 応用情報技術者 問41

正解 エ

重要な情報を送る直前にパスワードで再認証すれば、セッションを乗っ取った攻撃者はパスワードを知らないため先へ進めません。

セッションが乗っ取られると、攻撃者は正規の利用者としてWebアプリケーションにアクセスできます。そこで、個人情報などの重要な情報を表示・送信する直前に、パスワードの再入力による利用者認証を行います。攻撃者はセッションIDを持っていても、パスワードを知らなければ認証を通過できません。そのため、乗っ取られた後でも被害の拡大を防げます。

ア：通信の暗号化は盗聴を防ぐ対策です。すでに乗っ取られたセッションでは、攻撃者が暗号化された通信のまま正規に情報を受け取れてしまいます。

イ：セッションIDをCookieに格納するのは、セッションIDの受渡し方法です。乗っ取った攻撃者によるアクセスを止める効果はありません。

ウ：セッションIDをURLに設定すると、Refererなどから漏れやすくなります。乗っ取りの危険を高める方法であり、被害の拡大は防げません。

出典：平成28年度 春期 応用情報技術者試験 問41