問91
頻出度★★★
クロスサイトスクリプティングなどの攻撃で, Cookie が漏えいすることによって受ける被害の例はどれか。
平成29年度 秋期 ITパスポート試験 問91
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 91
不正解ア
PC がウイルスに感染するのは、不正プログラムのダウンロードや実行など別経路による被害であり、Cookie（Web サービスとのやり取りに使う認証情報）が漏えいしただけで PC がウイルスに感染するわけではない。
不正解イ
PC 内のファイルを外部に送信されるのは、マルウェア感染などにより PC 内部のファイルへアクセスされた場合の被害である。Cookie はブラウザが Web サーバとの間で扱う情報にすぎず、漏えいしても PC 内のローカルファイルの送信には直接つながらない。
- ウ
正解 Cookie には、Web サービスにログイン中であることを示すセッション ID など、認証状態を保持する情報が格納されていることが多い。クロスサイトスクリプティング（XSS）で埋め込まれた不正なスクリプトが利用者のブラウザから Cookie を盗み出して攻撃者に送ると、攻撃者はその Cookie（セッション ID）を自分のブラウザにセットするだけで、正規利用者になりすましてログイン済みの状態を再現できる（セッションハイジャック）。その結果、利用者本人でなくても Web サービスのアカウントを操作できてしまうため、「アカウントを乗っ取られる」が Cookie 漏えいによる被害例として正しい。よって正解はウ。
不正解エ
無線 LAN を介したネットワーク侵入は、無線 LAN の暗号方式の脆弱性やパスワード解読など、ネットワーク側を狙う別の攻撃による被害であり、Web サービスの認証情報である Cookie の漏えいとは無関係である。
ここがポイント
- Cookie にはセッション ID などの認証情報が保存されることが多く、XSS などで漏えいすると攻撃者に利用者としてなりすまされ、セッションハイジャック（アカウント乗っ取り）の被害につながる。
- 被害の種類を攻撃対象で区別する: Cookie 漏えいは「Web サービスのアカウント」を狙うものであり、ウイルス感染・ローカルファイル窃取・ネットワーク侵入とは原因も対象も異なる。
用語