平成29年度 春期 情報処理安全確保支援士試験 午前II 問5

【解説】

ア: HTTPS通信でSecure属性がないCookieにセッションIDを格納するWebサイトにおいて，HTTP通信で送信されるセッションIDを悪意のある者が盗聴する。
誤り。これはセッションハイジャックの一種であり、セッションID固定化攻撃ではありません。

イ: URLパラメータにセッションIDを格納するWebサイトにおいて，Refererによってリンク先のWebサイトに送信されるセッションIDが含まれたURLを，悪意のある者が盗用する。
誤り。これはセッションIDの漏洩に関する問題ですが、固定化攻撃には該当しません。

ウ: 悪意のある者が正規のWebサイトから取得したセッションIDを，利用者のWebブラウザに送り込み，利用者がそのセッションIDでログインして，セッションがログイン状態に変わった後，利用者になりすます。
正しい。セッションID固定化攻撃とは、攻撃者があらかじめ用意したセッションIDを利用者に強制的に使用させ、その後セッションを乗っ取る攻撃手法です。

エ: 推測が容易なセッションIDを生成するWebサイトにおいて，悪意のある者がセッションIDを推測し，ログインを試みる。
誤り。これはセッションIDの推測攻撃であり、固定化攻撃ではありません。