平成30年度 春期 応用情報技術者 問43

正解 イ

ログアウト時にWebサーバ側でセッションIDを無効にすれば、盗まれたIDを使ってもセッションを乗っ取れません。

セッションハイジャックは、盗んだセッションIDを使って正規の利用者になりすます攻撃です。ログアウト時にWebサーバがセッションIDを無効にすると、そのIDはその後使えなくなります。その結果、IDが漏れていても乗っ取りに使える期間が短くなります。ブラウザ側でクッキーを消すだけでは、サーバ側でIDが有効なまま残ります。

ア：サーバのディスクに格納しても、セッションIDは有効なままです。乗っ取りの機会は減りません。

ウ：キャッシュしたWebページを消しても、セッションIDはサーバ側で有効なままです。また、自分専用のPCなので、キャッシュを他人に見られるおそれも小さいです。

エ：ブラウザのディスクにセッションIDを残すと、IDが盗まれる機会がかえって増えます。

出典：平成30年度 春期 応用情報技術者試験 問43