令和3年度 春期 応用情報技術者試験 午前 問44

• ア: WebサーバにセッションIDを格納する
  誤り。セッションIDをサーバに格納する行為自体は不正ではありませんが、ログアウト時の不正防止策としては不十分です。

• イ: セッションIDを無効にする
  正しい。ログアウト時にサーバ側でセッションIDを無効化することで、仮に攻撃者がセッションIDを取得しても再利用できなくなります。これはセッションハイジャック対策として最も効果的です。

• ウ: Webページのキャッシュをクリアする
  誤り。キャッシュクリアは重要ですが、セッションの乗っ取り防止には直接関係しません。キャッシュデータにセッションIDは通常含まれません。

• エ: WebブラウザにセッションIDを格納する
  誤り。セッションIDをブラウザに格納すること自体がセキュリティリスクとなります。セッションIDはサーバ側で管理するのが基本です。

答え

イ: WebサーバにおいてセッションIDを無効にする。