平成29年度 秋期 午前Ⅱ 問14

✓ これが正解エパスワードによる利用者認証を行う。

解説

重要な画面の直前でパスワードによる利用者認証を再度行います。

設問の条件は、セッションがすでに乗っ取られた後でも被害を広げないこと、そして重要な画面の直前で追加的に行う対策であることです。乗っ取りに成功した攻撃者は、セッション ID は手にしていても、利用者のパスワードまでは知らないことが普通です。そこで重要な情報を表示する前にパスワードによる利用者認証をもう一度求めれば、攻撃者はその先へ進めません。したがって、パスワードによる利用者認証を行うという記述が最も適切です。

ほかの選択肢はなぜ違うのか

• アWeb ブラウザとの間の通信を暗号化する…：Web ブラウザとの通信を暗号化するのは、盗聴で ID が漏れるのを防ぐ前段の対策です。すでに乗っ取られたセッションでアクセスされる場面では、被害の拡大を止められません。
• イ発行済セッション ID を Cookie…：発行済みのセッション ID を Cookie に格納するのは、ID の受け渡し方法の話です。乗っ取った攻撃者も同じ ID で振る舞えるため、重要な画面の前で被害を食い止める効果はありません。
• ウ発行済セッション ID を HTTP レ…：セッション ID を URI のクエリ文字列に設定すると、Referer などを通じて外部に漏れやすくなり、かえって乗っ取りの危険が増えます。被害を抑える対策とは逆の方向です。