ログアウト時のセッション ID の処理
出典: 令和3年度 春期 応用情報技術者試験 午前 問44 (IPA)
Web システムにおいて，セッションの乗っ取りの機会を減らすために，利用者のログアウト時に Web サーバ又は Web ブラウザにおいて行うべき処理はどれか。ここで，利用者は自分専用の PC において，Web ブラウザを利用しているものとする。
- ア Web サーバにおいてセッション ID を内蔵ストレージに格納する。
- イ Web サーバにおいてセッション ID を無効にする。
- ウ Web ブラウザにおいてキャッシュしている Web ページをクリアする。
- エ Web ブラウザにおいてセッション ID を内蔵ストレージに格納する。
正解と解説を見る
正解: イ
- ア: セッション ID を内蔵ストレージに格納しても、乗っ取りの機会は減りません。
- イ: ログアウト時にサーバ側でセッション ID を無効にすると、盗まれた ID を使えなくできるので、正しい答えです。
- ウ: キャッシュしたページを消去しても、セッション ID を使った乗っ取りは防げません。
- エ: セッション ID をブラウザの内蔵ストレージに保存すると、かえって盗まれる危険が高まります。
ポイント
- セッション ID が盗まれた場合に備え、ログアウト時には Web サーバ側でそのセッション ID を無効にします。そうすれば、盗まれたセッション ID を使っても、そのセッションを乗っ取れません。
- ブラウザ側のキャッシュ削除や、セッション ID の保存は、乗っ取りの防止にはなりません。