応用情報技術者 2021年 春期 午前2 問44

ログアウト時のセッション無効化【午前2解説】

正解の理由

解法ステップ

1. 問題の目的を確認：ログアウト時に「セッションの乗っ取りの機会を減らす」こと。
2. 「乗っ取り」は通常、認証トークン（セッションID）が有効であることを悪用される点に着目。
3. 各選択肢が「セッションIDの有効性／再利用をどう扱うか」を満たすか評価する。
4. サーバ側でセッションを無効化すれば、クライアントに残るトークンの再利用を防げるため最適と判断する（イ）。

選択肢別の誤答解説

• ア: WebサーバにおいてセッションIDを内蔵ストレージに格納する。
  → サーバ側でセッションデータを格納するのは通常の実装であり安全性そのものを損なうものではありません。ただし「格納する」だけではログアウト時の対策とはなりません。ログアウト時には格納したセッションを削除または無効化する必要があります。したがって単に格納する行為は問題の目的（ログアウト時の乗っ取り機会の低減）に直接応えません。
• イ: WebサーバにおいてセッションIDを無効にする。
  → サーバ側でセッションを無効化する（サーバ内データの削除／無効フラグ付与、該当セッションIDを受け付けないようにする）ことで、ログアウト後に同じIDを使ってアクセスしても認証されなくなります。これが最も効果的であり正答です。
• ウ: WebブラウザにおいてキャッシュしているWebページをクリアする。
  → キャッシュのクリアはページの再表示や機密情報の露出を抑える助けにはなりますが、セッションID（特にクッキーとして保持されるもの）を消すものではありません。キャッシュ消去だけではセッションの再利用を防げないため不十分です。
• エ: WebブラウザにおいてセッションIDを内蔵ストレージに格納する。
  → ブラウザのローカルストレージやlocalStorage等にセッションIDを置くと、JavaScriptから容易に参照でき、XSS（クロスサイトスクリプティング）などで盗まれるリスクが高まります。ログアウト時にブラウザ内にトークンを残すことは乗っ取りのリスクを増やすため不適切です。

よくある誤解

1. 「キャッシュを消せばセッションも消える」
   → キャッシュは表示データの保存であり、HTTPクッキーやlocalStorageの内容とは別です。セッションの無効化にはサーバ側処理やクッキー削除が必要です。
2. 「サーバにセッションを置くのは危ない」
   → サーバ側でセッションを管理するのは一般的であり、安全性は高いです。問題は管理方法（適切な無効化、タイムアウト、保存場所の保護）にあります。
3. 「ブラウザのlocalStorageはクッキーより安全」
   → localStorageはHttpOnlyが使えないため、XSS攻撃で盗まれやすく、セッション管理用トークンの保存には向きません。

補足コラム

• サーバ側でセッションを明示的に破棄（セッションIDを無効化し、サーバ内データを削除）。
• レスポンスでセッション用クッキーを削除または即時期限切れに設定（Set-CookieでMax-Age=0等）。
• セッション固定攻撃対策としてログイン時にセッションIDを再生成（セッションIDローテーション）。
• クッキーに Secure / HttpOnly / SameSite を設定し、XSS・CSRFリスクを低減。
• セッションの有効期限を短くし、長時間放置されるトークンを減らす。

HTTP/1.1 200 OK
Set-Cookie: session=; Max-Age=0; Path=/; Secure; HttpOnly; SameSite=Strict

FAQ