情報処理安全確保支援士試験 科目Bサンプル問2（セッションフィクセーション）の解説

正解：ウ（a1 (イ)／a2 https://test.△△△.jp/）　IPA 公表の解答例による

• ア × 誤り ログインボタンを押した遷移なら，どれでもセッションIDを更新する場所になると考えた

  a1 (ア)／a2 https://test.△△△.jp/

  a2は正しいが，a1が誤り。(ア)は01の［ログイン］から01に戻る遷移で，ログインした状態の画面02に進んでいない。セッションIDを取り替えるべきなのは，未ログインからログイン済みに状態が変わる遷移（(イ)）。

• イ × 誤り ログインボタンを押した遷移なら，どれでもセッションIDを更新する場所になると考えた

  a1 (ア)／a2 https://test.△△△.jp/mypage

  a1・a2とも誤り。(ア)は01に戻る遷移で，ログインの成功ではない。また，mypage（画面03）は注記1によりログインしていないとエラー画面になるので，手順2で攻撃者がsessionIDを入手する先にはならない。

• ウ ○ 正しい

  a1 (イ)／a2 https://test.△△△.jp/

  ログインに成功して01から02に進む遷移が(イ)。表Bのとおり，この遷移の前後でsessionIDが同じなので，攻撃者が先に渡したsessionIDが，そのままログイン済みのセッションになる。a2は，ログインしていなくてもsessionIDを受け取れる画面01のURLで，表1では01と02が同じ https://test.△△△.jp/。手順 7で同じURLにアクセスすれば，ログイン済みの画面02が表示されると考えられる（当サイトの読み）。

• エ × 誤り 不正ログインの後に見る画面のURLを，sessionIDを入手するURLと取り違えた

  a1 (イ)／a2 https://test.△△△.jp/mypage

  a1は正しいが，a2が誤り。手順2は，攻撃者が自分でアクセスしてsessionIDを入手する手順。ログインしていない攻撃者がmypageにアクセスすると，注記1によりエラー画面になる。sessionIDを受け取れるのは，ログイン前に表示できる画面01のURL。

• オ × 誤り ログインの後で重要な画面に移るときに，セッションIDを更新すればよいと考えた

  a1 (エ)／a2 https://test.△△△.jp/

  a2は正しいが，a1が誤り。(エ)は02から03に進む遷移で，このときはすでにログイン済み。攻撃者は，ログインの直後（画面02）で応募者確認と問合せ確認から個人情報を閲覧できるので，(エ)でIDを取り替えても被害は防げない。

• カ × 誤り ログインの後で重要な画面に移るときに，セッションIDを更新すればよいと考えた

  a1 (エ)／a2 https://test.△△△.jp/mypage

  a1・a2とも誤り。(エ)はログイン済みの状態での遷移なので，ここでIDを取り替えても，ログインの時点で攻撃者のsessionIDが有効になっている。mypageは未ログインではエラー画面になるので，攻撃者がsessionIDを入手する先にならない。

正解：ア（メール受信者による M サイトへのログイン）　IPA 公表の解答例による

• ア ○ 正しい

  罠サイトのHTMLは，攻撃者のsessionIDを入れたフォームをMサイトにPOSTし，メール受信者のブラウザにそのsessionIDを使わせる（画面01にそのsessionIDが入ると考えられる。当サイトの読み）。メール受信者がそのままログインすると，遷移(イ)でsessionIDが変わらないので，攻撃者の知っているsessionIDがログイン済みのセッションになる。攻撃者は，このログインの完了を待ってから同じsessionIDでアクセスする。

• イ × 誤り 不正ログインには，パスワードを書き換えさせる必要があると考えた

  セッションフィクセーションは，パスワードを知らなくても，被害者が正規にログインしたセッションを横取りする攻撃。パスワードの再設定は不要で，再設定を終えても画面09から01に戻るだけでログインした状態にはならない。また，パスワードの再設定には，登録したメールアドレスに届くメール(あ)のURLが必要になる。

• ウ × 誤り 罠サイトで入力させた情報を使って不正ログインすると考えた（フィッシングとの混同）

  罠サイトに置くのは，フォームを自動で送信するHTMLだけで，ログイン画面ではない。罠サイトにログインしてもMサイトのセッションには何も起きない。攻撃者が待っているのは，攻撃者のsessionIDを持たされた状態でのMサイトへのログイン。

正解：キ（使用した sessionID を無効化して，新しい sessionID を発行する）　IPA 公表の解答例による

• ア × 誤り セッション管理の対策を，Cookieの属性で一律に考えた

  MサイトはsessionIDをCookieではなくformのhiddenフィールドで受け渡している。HttpOnly属性は，スクリプトからCookieを読ませない設定で，攻撃者が自分で入手したsessionIDを被害者に使わせる攻撃は防げない。

• イ × 誤り セッション管理の対策を，Cookieの属性で一律に考えた

  Secure属性は，HTTPSのときだけCookieを送らせる設定で，盗聴への対策。MサイトはCookieを使っていないうえ，攻撃者はsessionIDを盗聴ではなく自分のアクセスで正規に入手している。

• ウ × 誤り 罠サイトからのPOSTが絡むので，CSRFの対策で防げると考えた

  SameSite属性は，ほかのサイトからのリクエストにCookieを付けさせない設定。MサイトはsessionIDをフォームの値で受け取るので，罠サイトのフォームが送るsessionIDはCookieの属性では止まらない。ログインの前後で同じIDを使い続けるという原因も残る。

• エ × 誤り 受け渡しの方法を変えれば固定化を防げると考えた

  渡し方を変えても，ログインの前後でsessionIDが同じという原因は残る。GETパラメータはURLに載るので，履歴やRefererから漏れやすく，攻撃者がIDを仕込むのもかえって簡単になる。

• オ × 誤り 受け渡しの方法を変えれば固定化を防げると考えた

  エと同じく，URLにsessionIDを載せると，リンクを踏ませるだけでIDを固定できてしまう。セッションフィクセーションを起こしやすくする方向の変更で，対策にならない。

• カ × 誤り sessionIDを秘匿すれば固定化を防げると考えた

  攻撃者は，自分で入手したsessionIDを被害者に使わせている。被害者の側でIDを暗号化して保存しても，ログインの後も同じIDが有効なら，攻撃者はそのIDでアクセスできる。

• キ ○ 正しい

  ログインに成功する遷移（a1の(イ)）で，それまでのsessionIDを無効にして新しいIDを発行すれば，攻撃者が事前に入手したIDはログイン済みのセッションにならない。手順7で攻撃者が古いIDでアクセスしても，ログインしていない状態として扱われる。