平成29年度 秋期 情報処理安全確保支援士試験 午前II 問14

【解説】

ア: Webブラウザとの間の通信を暗号化する。
誤り。通信の暗号化（例: HTTPS）はセッションの乗っ取りを防ぐための有効な対策ですが、すでにセッションが乗っ取られた場合の被害拡大を防ぐ方法としては十分ではありません。

イ: 発行済セッションIDをCookieに格納する。
誤り。セッションIDをCookieに格納することは一般的な方法ですが、乗っ取られたセッションIDを利用したアクセスに対して追加の対策とはなりません。

ウ: 発行済セッションIDをHTTPレスポンスボディ中のリンク先のURIのクエリ文字列に設定する。
誤り。セッションIDをクエリ文字列に含めると、URIの共有やログに残るリスクが高まり、セキュリティ上の問題となります。

エ: パスワードによる利用者認証を行う。
正しい。重要な情報を表示する画面の直前で再認証を求めることで、セッション乗っ取りの被害拡大を防ぐ有効な手段となります。これにより、正当な利用者のみがアクセス可能になります。