セッションハイジャックとは

• 投稿日：2021-01-28　
• 表示：158PV　
• カテゴリ：攻撃方法

前回まで、「セッションハイジャック」の前提として知っておきたい「セッション」についてお話をしました。
今回は、本丸の「セッションハイジャック」のお話です。

セクションハイジャック

セッションハイジャックとは？

セッションハイジャックとは、名前を分解すると「セクション」と「ハイジャック」に分かれます。
セクションについては、後程お話しますので、先に「ハイジャック」のお話をします。
と言っても、難しいお話ではありません。
イメージしやすいものとしては、「飛行機の乗っ取り」です。
日本では飛行機の乗っ取りという意味で使われることが多く、「バスジャック」や「電波ジャック」など、いろいろと和製英語ができました。
それに対し、海外では「乗り物などの乗っ取り全般」で使われる言葉だそうです。

ここから、セキュリティ用語としては、「セッションの乗っ取り」という意味で使われています。

小話

ちなみに「ハイジャック」の「ハイ」は英単語の「High」ではないそうです。
諸説あるのですが、お話からそれますので、ご興味のある方は「ハイジャック　語源」などでお調べください。

前回、「セッション」とは、「通信を行う一連の状態」とお話をしました。

セッションを乗っ取られると？

セッションを乗っ取られると、Webなどのサービスの場合、ログインした後の状態になりますから、「攻撃されるとどうなるのですか？」や「不正ログイン後の代表的な被害と対策」などで、お話しているような被害が発生します。

乗っ取られないようにするためには、セッションを盗まれ内容にしなければなりません。
そのためには、どこにセッションが保管されているかが重要になってきます。
実際のセキュリティ攻撃も、この保管されている場所をいかに盗み見るか？になっています。

攻撃方法

すでにお話をしたように、保存場所をいかに盗み見るか？です。
攻撃方法全般になるので、次の２つを簡単にお話します。

1. 通信傍受
2. データを別の場所に送信させる

通信傍受

ネットワークに機器などを接続して、通信内容を盗み見ます。
通信傍受の対策としては、SSL(TLS)通信を利用するだけでも一定の効果があります。 このため、HTTPSを利用した通信が増えています。

データを別の場所に送信させる

次のようにユーザの動作を介するかどうかで異なります。

• フィッシングサイトなどユーザの動作が伴うもの
• クロスサイトスクリプティングなどユーザが知らない間に送信されるもの

知らない間に送信されるものについてのユーザが行える対策は、セキュリティ対策ソフトやブラウザの更新に頼るほかないのが現状です。

次回は、対策に重要な「セッションの保管場所」についてお話をします。

タグ：セッションハイジャック, 不正アクセス, 不正ログイン, 対策ソフト, 暗号方式, 漏えい

広告枠・・・広告やリンク先の保証はしません

参考記事（一部広告含む）

このページの記事についてちょっと質問！