平成30年度 春期 午前 問43

✓ これが正解イWeb サーバにおいてセッション ID を無効にする。

解説

サーバ側でセッションを無効にします。

設問は、ログアウトのときに何をすればセッションの乗っ取りの機会が減るのかを選ばせています。軸になるのは、盗まれる対象をどこで無効にできるのかという点です。乗っ取りの道具になるのは、利用者を見分けるためにサーバが発行したセッション ID です。この印は、持っている者が誰であってもサーバ側で通用してしまう性質を持ちます。したがって、印を利用者の手元から消すだけでは足りません。攻撃者の手元に控えが渡っていれば、そちらは消せないからです。効くのは、サーバが自分の帳簿からその印を落とし、以後は受け取っても知らないものとして扱うようにすることです。こうすれば控えを持っていても中へは入れません。なお設問は、利用者が自分専用の PC を使うと断っています。この一文は、同じ機械を次に触る人へ画面の残りが見えるという心配を、あらかじめ取り除くために置かれています。条件を述べた文は飾りではなく、どの記述を落とすために置かれたのかを読む材料になります。

ほかの選択肢はなぜ違うのか

• アWeb サーバにおいてセッション ID …：発行したセッション ID をサーバ側で記憶装置へ書き残す案です。残せば残すほど手の届く面が広がり、通用する期間も延びるので、乗っ取りの機会はむしろ増える向きに働きます。
• ウWeb ブラウザにおいてキャッシュしてい…：閲覧中に手元へためこまれた画面のキャッシュを消す案です。同じ機械を次に触る人の覗き見には効きますが、設問は自分専用の PC と断っており、その心配は初めから外されています。
• エWeb ブラウザにおいてセッション ID…：発行されたセッション ID をブラウザ側で記憶装置へ書き残す案です。本来は閉じれば消える置き方をするものを、立ち上げ直しても残る場所へ移すことになり、危うさが増します。