テクノロジ
セッションハイジャックとは
読み方：せっしょんはいじゃっく
ひとことで言うと：正規利用者のセッション識別情報を盗むなどして、その利用者になりすます攻撃。
意味をわかりやすく解説
Webサービスではログイン後の状態をセッションIDなどで識別します。セッションハイジャックは、その値を窃取・推測・固定するなどして正規利用者のセッションを乗っ取ります。
HTTPSの利用、安全なCookie属性、ログイン後のセッションID再発行、十分に推測困難なID、適切な有効期限などが対策になります。
具体例
攻撃者が盗んだセッションCookieを自分のブラウザへ設定し、パスワードを知らずにログイン済み利用者としてアクセスする。
似た用語との違い
セッション固定攻撃
セッション固定は攻撃者が既知のセッションIDを被害者に使わせる手法です。セッションハイジャックはより広くセッションを乗っ取る攻撃を指します。
パスワードリスト攻撃
パスワードリスト攻撃は認証情報でログインを試みます。セッションハイジャックはログイン後のセッション情報を悪用します。
覚え方
パスワードではなく『ログイン済みの通行証＝セッションID』を奪う、と覚えます。
基本情報技術者試験の試験ポイント
セッションIDの窃取・推測・固定と、HTTPSやCookie属性などの対策を結び付けます。
CHECK QUESTION
パスワードを盗まず、正規利用者のセッションCookieを使ってログイン状態を乗っ取る攻撃は何ですか。
答えを見る
セッションハイジャックです。
この説明は分かりやすかったですか？
基本情報技術者試験を勉強中ですか？
この用語を含む重要用語を、単語帳や4択テストで学習できます。