問41応用情報技術者 平成28年度 春期

解説

正解は4。問われているのは、セッションがすでに乗っ取られた後でも被害を広げない対策。重要な情報を送る直前にパスワードを入れ直させれば、セッションIDだけを手に入れた攻撃者はパスワードを知らないのでそこで止まる。だから4が適切。

• 1は、通信の暗号化は盗聴によるセッションIDの漏えいを防ぐ対策。乗っ取られた後のアクセスは正規の暗号化通信として通ってしまう。
• 2は、CookieはセッションIDの受け渡し方法の一つにすぎず、奪われたIDの悪用は止められない。
• 3は、URLにセッションIDを載せるとRefererやアクセス履歴から漏れやすく、かえって乗っ取りの原因になる。

根拠：Webアプリケーションのセッション管理の対策（重要な処理の前の再認証）。