平成28年度 春期 午前 問41

✓ これが正解エパスワードによる利用者認証を行う。

解説

重要な情報を出す直前に、もう一度本人を確かめます。

この設問は条件を三つ重ねています。セッションはすでに乗っ取られていること、それでも被害を拡大させないこと、そして重要な情報を送信する直前に行うことです。前提がセッションハイジャックの後を指している以上、乗っ取りそのものを起こりにくくする手立ては答えになりません。残る道は、情報を渡す手前でもう一度相手が本人かを確かめることです。攻撃者はセッションを奪えても、利用者のパスワードまでは知りません。ですから重要な画面や操作の手前でパスワードによる利用者認証を改めて求めれば、奪ったセッションだけでは先へ進めなくなります。実際の造りでも、振込や登録内容の表示といった節目で改めてパスワードを聞く形がとられます。セッション管理の対策は時点で分けて整理すると迷いません。値を発行するとき、利用者が使っている間、そして重要な情報を出す直前という三つの段があり、この設問が問うているのは最後の段だけです。乗っ取りを防ぐ対策と、乗っ取られた後に被害を広げない対策は別物だという点が分かれ目になります。

ほかの選択肢はなぜ違うのか

• アWeb ブラウザとの間の通信を暗号化する…：通信路を守る手立てで、途中で盗み見られることには効きます。しかし攻撃者は正規の暗号化された通信をそのまま使っているので、乗っ取られた後の被害を食い止める働きはありません。
• イ発行済セッション ID を Cookie…：発行済みのセッション ID を Cookie に置き直すという話で、これは奪われにくくする側の工夫にあたります。すでに発行されているものを格納するだけでは、奪われた後に効く力は新たに生まれません。
• ウ発行済セッション ID を URL に設…：セッション ID を URL に載せると、閲覧の履歴や参照元の記録として外に残ります。守りを固めるどころか漏れる経路が増えるので、被害を抑える方向とはむしろ逆を向いています。