情報セキュリティマネジメント試験基礎・応用
条件を読む・根拠を説明する
認証前後のセッション
条件を整理し、答えを選んでから解き方を確認しましょう。
認証前から使っていた同じセッションIDをログイン後も使い続ける。攻撃者が事前にそのIDを把握していた場合への対策はどれか。
答え・解き方を読む
ログイン成功時に新しいIDへ更新し旧IDを無効にする
図で見る
古いIDを残さない
図を拡大して見る ↗認証前のIDを攻撃者が把握していた場合に備え、ログイン成功時に新IDを発行し、旧IDで認証後の状態へ進めないようにします。
セッションIDの値そのものは示していません。新IDの発行と旧IDの無効化の両方が図の要点です。
考える順序
- 1認証前に知られたIDが認証後の権限へ結び付く点が問題
- 2権限が変わる時点でIDを再発行
- 3旧IDでは認証済み状態へアクセスできないようにする
選択肢ごとの理由
- 正解 · ログイン成功時に新しいIDへ更新し旧IDを無効にする
認証前に知られたIDが認証後の権限へ結び付く点が問題。権限が変わる時点でIDを再発行。旧IDでは認証済み状態へアクセスできないようにする。
- 比較 · Cookieの表示名だけ変える
値の共有状態が残れば名称変更では解決しません。
- 比較 · ログイン時刻を監査ログへ記録するだけ
時刻の記録だけではIDの再利用を防げません。
- 比較 · パスワードの最小文字数だけ増やす
パスワード強化は既知のセッションIDの問題を解消しません。