平成28年度春期応用情報技術者試験午前問41

Question

Web アプリケーションのセッションが攻撃者に乗っ取られ，攻撃者が乗っ取ったセッションを利用してアクセスした場合でも，個人情報の漏えいなどの被害が拡大しないようにするために，Web アプリケーションが重要な情報を Web ブラウザに送信する直前に行う対策として，最も適切なものはどれか。

キーボード：1〜4 で解答　→ 次の問題　← 前の問題

出典：平成28年度春期応用情報技術者試験午前問41

Answer 1

正解と解説を見る

正解：エ

ア: 通信を暗号化する
誤り。通信の暗号化は盗聴対策です。既にセッションを乗っ取った攻撃者との通信も暗号化されるだけなので，被害は防げません。
イ: セッション ID を Cookie に格納する
誤り。セッション ID の受渡し方法の話であり，既に乗っ取られたセッションでのアクセスは防げません。
ウ: セッション ID を URL に設定する
誤り。URL にセッション ID を含めると，Referer などから漏えいしやすくなり，かえって危険です。
エ: パスワードによる利用者認証を行う
正しい。重要な情報を送る直前にパスワードで再認証すれば，セッションを乗っ取っただけでパスワードを知らない攻撃者には情報を渡さずに済みます。

エ: パスワードによる利用者認証を行う

平成28年度 春期 応用情報技術者試験 午前 問41