平成29年度 春期 午前Ⅱ 問5

✓ これが正解ウ悪意のある者が正規の Web サイトから取得したセッション ID を，利用者の Web ブラウザに送り込み，利用者がそのセッション ID でログインして，セッションがログイン状態に変わった後，利用者になりすます。

解説

攻撃者が用意した ID を利用者に使わせて乗っ取る手口です。

セッション ID の固定化攻撃は、ID を盗むのではなく、攻撃者の側から押し付ける手口です。攻撃者はまず正規の Web サイトから自分でセッション ID を取得します。次に、その ID を利用者の Web ブラウザに送り込みます。利用者がそのままログインすると、その ID はログイン済みの状態に変わります。攻撃者は同じ ID を知っているので、利用者になりすますことができます。この3つの段階を述べた記述が固定化攻撃の手口です。対策としては、ログインに成功した時点でセッション ID を新しく発行し直す方法が知られています。

ほかの選択肢はなぜ違うのか

• アHTTPS 通信で Secure 属性が…：Secure 属性のない Cookie に入ったセッション ID が、HTTP 通信で流れたところを盗聴する手口です。すでに発行された ID を横から盗み見る攻撃であり、利用者に特定の ID を使わせる仕掛けはありません。
• イURL パラメタにセッション ID を格…：URL パラメタに入ったセッション ID が Referer によってリンク先へ送られ、それを盗用される手口です。ID の漏えいを突く攻撃で、攻撃者の手元の ID を利用者に使わせるものではありません。
• エ推測が容易なセッション ID を生成する…：推測しやすいセッション ID を生成するサイトで、攻撃者が ID を当てにいく手口です。ID の生成方法の弱さを突く推測攻撃であり、固定化とは攻撃の出発点が違います。