セッションハイジャック とは？

Webサイトにログインすると「セッションID」という通行証が発行されるよね。このIDを攻撃者が盗むと、パスワードを知らなくてもログイン済みの状態でシステムにアクセスできてしまうんだ。まさに通行証を盗んで本人のふりをするんだよ。

たとえば、保護されていないCookieをXSSで読み取る、暗号化されていない通信からIDを盗む、推測しやすいIDを当てる、といった方法があるよ。セッション固定では、盗む代わりに攻撃者が知っているIDを被害者に使わせるんだ。

通信全体をHTTPSにし、CookieにSecureとHttpOnlyを設定する。推測しにくいIDを使い、ログインや権限変更時に再生成する。有効期限をサーバー側で管理し、ログアウト時には失効させるんだ。ただしHttpOnlyでも、XSSによる不正な操作まで全部防げるわけではないよ。

HTTPSを使う正しいサイトか確認し、共用端末では使い終わったらログアウトしよう。プライベートモードは端末に履歴やCookieを残しにくくする機能で、セッション窃取を防ぐ保証ではないよ。Cookieを端末から消すだけでは、盗まれたIDがサーバー側で無効になるとは限らないんだ。