SC情報システムの企画・設計・開発・運用でのセキュリティ確保の推進又は支援に関すること · セキュアプログラミング

セッションID

Session ID

せっしょんあいでぃー

Webアプリケーションが、ログインした利用者の一連の操作（セッション）を識別するために発行する値。cookieなどで受け渡すため、推測されにくい十分な長さの乱数で作り、ログインの成功時に新しい値に変える。ログイン前の値を使い続けるとセッションIDの固定化攻撃を、漏えいするとセッションハイジャックを受ける。

#セッション管理 #cookie #セッションハイジャック

共有:

他の資格での定義

FEセッションID

Webサーバが利用者ごとの状態を識別するために発行する番号。多くはcookieで受け渡す。推測されたり盗まれたりすると成りすまされるため、乱数で生成し通信を暗号化する必要がある。

Past Exams

過去問での出題

過去問で 32 回出題（情報処理安全確保支援士試験 11・応用情報技術者試験 7・高度試験午前Ⅰ 6・基本情報技術者試験 4・情報セキュリティマネジメント試験 2・システムアーキテクト試験 2）

残り 22 件を表示

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

情報処理安全確保支援士試験の過去問によく出る用語

関連キーワードの用語

SCcookie

WebサーバがSet-Cookieヘッダで送り、Webブラウザが保存して、以後の同じサイトへのリクエストに付けて送り返す小さなデータ。ログイン状態を保つセッションIDの受渡しなどに使う。盗まれるとセッションハイジャックにつながるため、Secure属性、HttpOnly属性、SameSite属性を指定し、有効期限や送信先のドメインを必要な範囲に限る。

PD-ScookieのSameSite属性

cookieに指定し、他のサイトを起点とするリクエスト（クロスサイトリクエスト）でそのcookieを送るかどうかを決める属性。Strict（送らない）、Lax（他サイトのリンクからの画面遷移など、安全なメソッドによるトップレベルの遷移に限って送る）、None（常に送る。Secure属性が必要）を指定でき、CSRFの対策になる。

PD-Sステートフルパケットフィルタリング

通過したパケットから通信の状態（セッション）を記録し、内部から開始した通信に対する応答のパケットだけを動的に通過させるファイアウォールの方式。送信元や宛先のアドレスとポート番号だけで判断する静的なパケットフィルタリングより、不正なパケットを通しにくく、規則の設定も簡単になる。

A-1HTTP（Hypertext Transfer Protocol）

WebブラウザとWebサーバの間で、HTMLや画像などのリソースをやり取りするアプリケーション層のプロトコル。クライアントのリクエストにサーバがレスポンスを返す形式で、GET、POSTなどのメソッドを持つ。状態を持たない（ステートレス）ため、状態の維持にはcookieなどを使う。