FUNDAMENTAL INFORMATION TECHNOLOGY ENGINEER
基本情報技術者の問題解説
問題
A社の会員サイトでは，未ログイン状態で発行したセッションIDをログイン後も使い続けている。さらにURL中のパラメタでセッションIDを受け取る旧仕様も残っていた。攻撃者は，被害者に特定のセッションID付きURLを踏ませ，そのIDのままログインさせることを狙っている。
対策として，最も適切なものはどれか。
- ア ログイン画面に注意書きを増やす。
- イ ログイン成功時にセッションIDを再発行し，URLでのセッションID受渡しを廃止してCookieにはSecure，HttpOnly，SameSite属性を設定する。
- ウ セッションIDを短くする。
- エ ログイン後のトップページをランダムに変える。
- オ パスワードの最小文字数だけを長くする。
出典：オリジナル問題｜参考範囲：試験要綱Ver.5.5 / FEシラバスVer.9.2 科目B範囲
正解と解説
正解：ログイン成功時にセッションIDを再発行し，URLでのセッションID受渡しを廃止してCookieにはSecure，HttpOnly，SameSite属性を設定する。
正解：イ
セッション固定では，攻撃者が知るセッションIDをログイン後も使い続けることが問題である。ログイン成功時にIDを再発行することが中心対策になる。
URLでの受渡しは漏えいしやすいため廃止し，Cookie属性も併用する。注意書きやパスワード強化だけでは固定IDを無効化できない。
Hardでの見抜き方：セッション固定では，ログイン前から攻撃者が知っているIDをログイン後も使うことが危険である。ログイン成功時のID再発行と，URLでIDを渡さない設計をセットで考える。
この問題について
公開問題・サンプル問題のセキュリティ事例形式（A社シナリオ＋もっともらしい誤答）を参考にした独自問題です。本文・選択肢・解説は新規作成しています。
公式試験問題、公開問題、市販教材、外部問題サイトの問題文を転載・改題したものではありません。