2012年度 秋期 情報セキュリティスペシャリスト 午前I 問15

ウは、クロスサイトリクエストフォージェリ（CSRF）攻撃の対策として、リクエストにGETメソッドを使用するという記述ですが、CSRF攻撃は、ユーザーが意図せず、攻撃者が用意した悪意のあるリクエストを実行してしまう攻撃であり、GETメソッドの使用はむしろ攻撃を容易にする場合があるため不適切です。通常、CSRF対策としては、POSTメソッドの使用や、リクエスト毎に異なるトークンを埋め込むなどの方法が取られます。

エは、セッションハイジャック対策として、利用者ごとに固定のセッションIDを使用するという記述ですが、これはセッションハイジャック（攻撃者が正規のユーザーになりすますためにセッションIDを奪取する攻撃）を容易にするため不適切です。セッションIDは、ユーザーの認証状態を一時的に保持するためのものであり、固定されると攻撃者が容易に推測・窃取できてしまいます。