セッション管理
Session Management
せっしょんかんり
Webアプリケーションにおいてユーザーの状態を維持するための仕組みの管理。セッションIDの安全な生成（十分な長さとランダム性）、Cookieのセキュア属性（Secure、HttpOnly、SameSite）の設定、セッションタイムアウト、ログイン時のセッションID再生成などが重要な対策となる。
Past Exams
過去問での出題
過去問で 1 回出題（基本情報技術者試験 1）
出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。
Related
関連キーワードの用語
攻撃者があらかじめ用意したセッションIDを利用者に使わせ、その利用者が認証を済ませた後に同じIDでセッションを乗っ取る攻撃。認証成功時にセッションIDを再発行することが基本的な対策となる。
プロキシサーバを経由して外部へアクセスする際に利用者認証を求める仕組み。誰がどのサイトへアクセスしたかをログに残せるため、追跡性の確保と不正利用の抑止に役立つ。
利用者IDや有効期限などの情報（クレーム）をJSONで表し、デジタル署名やMACを付けて改ざんを検知できるようにしたトークン。署名付きのJWTは、ヘッダー・ペイロード・署名をそれぞれBase64URLで符号化し、ピリオドでつないだ文字列で表す。OpenID ConnectのIDトークンやAPIのアクセストークンに使われ、受け取った側が署名とアルゴリズム（alg）を正しく検証しないと、改ざんされたトークンや署名のないトークン（alg=none）を受け入れてしまう。
人間には判読できるが機械には認識しにくい歪んだ文字や画像を提示し、操作しているのが人間かプログラムかを判別する仕組み。会員登録や投稿フォームで、ボットによる自動投稿や大量アカウント作成を防ぐために使う。
組織の情報セキュリティを管理するための仕組み。ISO/IEC 27001（JIS Q 27001）に基づき、リスクアセスメントを行い、適切な管理策を選定・実施・運用・監視・改善するPDCAサイクルを回す。ISMS適合性評価制度により第三者認証を受けることができる。
情報セキュリティの付加的特性の一つ。エンティティ（利用者、プロセス、システム等）が主張するとおりのものであることを保証する特性。認証技術やデジタル署名により確保する。