セッションIDの固定化攻撃｜情報処理安全確保支援士 平成29年 春期午前Ⅱ試験 問5

• ア：HTTPS通信でSecure属性がないCookieにセッションIDを格納するWebサイトにおいて，HTTP通信で送信されるセッションIDを悪意のある者が盗聴する。
• イ：URLパラメータにセッションIDを格納するWebサイトにおいて，Refererによってリンク先のWebサイトに送信されるセッションIDが含まれたURLを，悪意のある者が盗用する。
• ウ：悪意のある者が正規のWebサイトから取得したセッションIDを，利用者のWebブラウザに送り込み，利用者がそのセッションIDでログインして，セッションがログイン状態に変わった後，利用者になりすます。
• エ：推測が容易なセッションIDを生成するWebサイトにおいて，悪意のある者がセッションIDを推測し，ログインを試みる。

解説

セッションIDの固定化攻撃は、攻撃者があらかじめ取得したセッションIDを利用者に使わせ、その利用者がログインした後に、同じセッションIDを使って利用者になりすます攻撃です。

ログイン時にセッションIDを新しく発行し直さないWebサイトでは、攻撃者が指定したセッションIDがログイン後も有効なままになるため、攻撃者はそのセッションを乗っ取ることができます。

したがって、ウが適切です。

❌他選択肢が誤りの理由
ア：HTTPS通信でSecure属性がないCookieにセッションIDを格納するWebサイトにおいて，HTTP通信で送信されるセッションIDを悪意のある者が盗聴する。
⇒セッションIDの盗聴によるセッションハイジャックの説明です。攻撃者がセッションIDを事前に固定して利用者へ使わせる攻撃ではありません。

---

イ：URLパラメータにセッションIDを格納するWebサイトにおいて，Refererによってリンク先のWebサイトに送信されるセッションIDが含まれたURLを，悪意のある者が盗用する。
⇒Refererから漏えいしたセッションIDを悪用するセッションハイジャックの説明です。セッションIDを利用者のブラウザへ送り込んで固定する手口ではありません。

---

エ：推測が容易なセッションIDを生成するWebサイトにおいて，悪意のある者がセッションIDを推測し，ログインを試みる。
⇒セッションIDの推測による攻撃です。固定化攻撃では、攻撃者が用意した特定のセッションIDを利用者に使わせ、ログイン後に同じIDを悪用します。

---

TSUNAGARU-ADVICE

まず押さえたいこと

セッションIDの固定化攻撃は、攻撃者があらかじめ取得したセッションIDを利用者に使わせ、その利用者がログインしてセッションが認証済みになった後に、攻撃者が同じセッションIDでなりすます攻撃です。ポイントは、攻撃者が用意したセッションIDを利用者に使わせることです。

迷ったときの判断軸

Secure属性がないCookieをHTTP通信で盗聴するものはセッションIDの盗聴、RefererでURL中のセッションIDが漏れるものはセッションIDの漏えい、推測しやすいセッションIDを当てるものはセッションIDの推測攻撃です。Session Fixationは、セッションIDを盗むのではなく、固定したセッションIDでログインさせる攻撃と判断しましょう。

科目Bにつなげるために

科目Bでは、ログイン処理・セッション管理・Cookie・URLパラメータ・セッションID再発行などと絡めて問われることがあります。対策としては、ログイン成功時にセッションIDを新しく発行し直し、古いセッションIDを無効化することで、攻撃者が事前に知っているセッションIDを使えない状態にする視点を持ちましょう。