基本情報技術者認証・入力と運用の信頼境界オリジナル・公式資料照合難易度
ログイン前のセッションIDを攻撃者が被害者へ設定できる状態で、ログイン後も同じIDを使い続けていた。セッション固定化対策の基本はどれか。
A
CookieへHttpOnlyだけを付け、認証前後の同じセッションIDを維持する
スクリプトからの読取り対策だけでは、攻撃者が既知のセッションIDを認証後も利用する問題を解消しない。
B
ログイン後に画面用の利用者IDだけを変え、認証済み状態を示すセッションIDは維持する
表示情報の変更では、攻撃者が知る認証用セッションIDを無効にできない。
C
認証成功時にセッションIDを更新し、旧IDを無効にする★ 正解
権限が変わる認証時にIDを切り替え、攻撃者が知るログイン前IDで認証後状態を使えないようにする。
D
有効期間だけ短縮し、認証成功後も旧セッションIDを有効なままにする
悪用可能な期間は減り得るが、認証時のID更新と旧ID無効化という固定化対策を代替しない。
解説
権限が変わる認証時にIDを切り替え、攻撃者が知るログイン前IDで認証後状態を使えないようにする。
根拠資料・確認情報
対応範囲：2026年度 基本情報技術者試験 科目A・B／シラバスVer.9.2
資料確認日：2026-11-02
アプリ内の初回回答データ
回答データを読み込んでいます。