情報セキュリティマネジメント試験基礎・応用
条件を読む・根拠を説明する
URLに含むセッションID
条件を整理し、答えを選んでから解き方を確認しましょう。
認証済みのURLにセッションIDを入れ、そのページから外部サイトへ移動する。改善として適切なのはどれか。
答え・解き方を読む
セッションIDをURLに含めない設計へ見直す
考える順序
- 1URLは履歴や参照元情報等へ残り得る
- 2認証に使う秘密をURLへ含めることを避ける
- 3適切なCookie属性等も含め管理する
選択肢ごとの理由
- 比較 · URLの値をBase64で表記すれば秘密として扱える
Base64は符号化であり秘密を保護する暗号化ではありません。
- 比較 · URLの期限だけを長くして再発行を減らす
期限の延長はURLへ含む秘密の漏えい経路を除きません。
- 比較 · リンク表示の文言だけを会員ページに変える
表示名を変えてもリンク先URLの値は残ります。
- 正解 · セッションIDをURLに含めない設計へ見直す
URLは履歴や参照元情報等へ残り得る。認証に使う秘密をURLへ含めることを避ける。適切なCookie属性等も含め管理する。