セキュリティ
基本情報技術者試験 科目A免除 修了試験 20251214 実施分 問33
攻撃者が，Web アプリケーションのセッションを乗っ取り，そのセッションを利用してアクセスした場合でも，個人情報の漏えいなどに被害が拡大しないようにするために，重要な情報の表示などの直前で Web アプリケーションが追加的に行う対策として，最も適切なものはどれか。
- ア Web ブラウザとの間の通信を暗号化する。
- イ 発行済セッション ID を cookie に格納する。
- ウ 発行済セッション ID を HTTP レスポンスボディ中のリンク先の URI のクエリ文字列に設定する。
- エ パスワードによる利用者認証を行う。
出典：基本情報技術者試験 科目A免除 修了試験 20251214 実施分 問33
答えと解説を見る
正解：エ
覚える知識
セッションハイジャック対策(ログアウト時のセッションID無効化)
セッション乗っ取り後の被害拡大を防ぐには、重要な操作や情報表示の直前に利用者のパスワードで再認証させる。
この問題で必要なこと
セッションを乗っ取られても被害を限定するため、重要情報の表示直前にパスワードによる再認証を行う。通信の暗号化やセッションIDの持たせ方だけでは乗っ取りを防げない。
ひっかけ
通信暗号化やセッションIDの格納場所の変更は乗っ取り後の被害を防げない点を見落とさせる。
この知識の出題：本試験系 0 回・免除試験 2 回（公開問題での観測値）