令和3年度 春期 応用情報技術者 問44

正解 イ

ログアウト時にWebサーバ側でセッションIDを無効にすれば、盗まれたセッションIDが使えなくなり、乗っ取りの機会が減ります。

セッションハイジャックは、攻撃者が利用者のセッションIDを入手し、その利用者になりすます攻撃です。セッションIDが有効である限り、攻撃者はそれを使ってサーバにアクセスできます。ログアウト時にWebサーバでセッションIDを無効にすると、そのIDは以後使えなくなります。そのため、セッションIDが漏えいしていても乗っ取りはできなくなります。

ア：サーバの内蔵ストレージにセッションIDを格納しても、IDは有効なまま残ります。盗まれたIDによる乗っ取りは防げません。

ウ：キャッシュしたWebページをクリアしても、セッションIDはサーバ側で有効なままです。自分専用のPCなので、キャッシュの閲覧による情報漏えいも問題になりません。

エ：ブラウザ側にセッションIDを保存しても、サーバ側でIDは有効なままです。保存されたIDが盗まれる機会がかえって増えます。

出典：令和3年度 春期 応用情報技術者試験 問44