2012年度 秋期 プロジェクトマネージャ 午前I 問15

ウは、クロスサイトリクエストフォージェリ（CSRF）という、ユーザーの意図しない操作を攻撃者に強制させる攻撃に対し、リクエストにGETメソッドを使用することは、GETメソッドはURLに情報が含まれるため、CSRF攻撃を容易にする可能性があり、不適切です。CSRF対策としては、POSTメソッドの使用や、CSRFトークンの埋め込みなどが一般的です。

エは、セッションハイジャックという、ユーザーのセッションIDを盗み取り、なりすます攻撃に対し、利用者ごとに固定のセッションIDを使用することは、セッションIDが固定だと推測されやすくなり、セッションハイジャックのリスクを高めるため、不適切です。セッションIDは、ランダムに生成され、定期的に変更されるべきです。