「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

順番に見ていきましょう。
まずは予備知識として

・セッション
・セッションID
・なりすまし

について結構ガッツリ説明します。
「そんなの説明されなくても知ってるよ！」な人は適当に読み飛ばしてください。

セッションは「通信などにおける論理的な意味での開始から終了まで（を意図する単位）」です。
もう少し大雑把に言えば

「こんにちは」から「さようなら」まで

です。

例えば、そうですね。
ピヨ太君とピヨ子さんが会話をします。

最初は、お互い無言です。



ピヨ太君が「こんにちは」と言います。



ピヨ子さんが「こんにちは」と言います。



ピヨ太君が「お腹が空いた」と言います。



ピヨ子さんが「私も空いた」と言います。



ピヨ太君が「さようなら」と言います。



ピヨ子さんが「さようなら」と言います。



これでピヨ太君とピヨ子さんの会話は終了です。

お家に帰ったピヨ太君にピヨ太ママが「今日はピヨ子さんと何回話した？」と聞きました。



ピヨ太君は「1回だよ」と答えます。



別に おかしいことは ありませんよね。
普通の答えです。

ですが、ちょっと待ってください。

ピヨ太君がピヨ子さんに向かって話したのは

１．こんにちは
２．お腹が空いた
３．さようなら

の3回です。
「今日はピヨ子さんと何回話した？」の質問に対する答えは「3回だよ」が正しいのではないでしょうか。



もちろん、そんなことは ありません。
一般的な感覚では、ピヨ太君とピヨ子さんが話したのは「1回」です。

「こんにちは」を会話の始まりと解釈します。
「さようなら」を会話の終わりと解釈します。
ピヨ太君とピヨ子さんが話したのは「1回」です。



ピヨ太君とピヨ子さんは何回も言葉を交わしました。
ですが、論理的な意味でいえば、ピヨ太君とピヨ子さんが話したのは1回です。

この「論理的な意味での1回（開始から終了まで）」がセッションです。
1回の「こんにちは」から「さようなら」までを「1セッション」と数えます。



もう少しコンピュータっぽい例も見てみましょう。
ホームページが表示されるときの流れを例にして、セッションを説明します。

あなたがホームページを見ようとすると、まず、ホームページを見るときに使うソフト（Webブラウザ）からホームページのファイルが置いてあるコンピュータ（Webサーバ）に対して「このページをおくれ」と お願いが出されます。



そのお願いに対して、WebサーバさんからWebブラウザさんに「ほれ、そのページだよ」と お返事がきます。



お返事を受け取ったWebブラウザさんは、受け取った内容（ホームページのファイル）を画面上に表示してくれます。



これが、ホームページが表示されるときの流れです。

実は、この流れは1回ごとに完結します。

Webサーバさんのところにピヨ太パソコンから「このページをおくれ」な お願いが行ったとしましょう。



Webサーバさんは「ほれ、そのページだよ」とファイルを返します。



さらにピヨ太パソコンから「次は、あのページをおくれ」と お願いが行きました。
ピヨ太パソコンから2回目のお願いです。



Webサーバさんは「ほれ、そのページだよ」とファイルを返します。



このとき、Webサーバさんは前回のお願いとのつながりを意識しません。
「またピヨ太から、お願いが来た」なんて思わないのです。
Webサーバさんは常に一期一会です。



ですが、これでは、いろいろと困ります。
例えば、会員ページにログインする（＝認証して使えるようにする）ときです。

最初のやり取りでログインするためのページ（IDとパスワードを入力するための画面）をもらいます。



次に、IDとパスワードを送って、会員ページ（ログインしたあとの画面）をもらいます。



これが、できません。



ログインするためのページを受け取ったやつとIDとパスワードを送ってきたやつが同じ人だと分からないからです。
Webサーバさんは常に一期一会です。
「さっきログインするためのページを送ったやつからIDとパスワードが送られてきた」なんて考えません。



そんな困った状況を解消するために、とあるテクニックがあります。
それは

整理番号を払い出しちゃうぜ作戦

です。

Webサーバさんは、ログインするためのページを渡すときに「1番」と書いたメモを一緒に渡します。



そして、自分のところに「1番：ピヨ太」とメモっておくのです。



ピヨ太パソコンは、IDとパスワードを送るときに、先ほど受け取ったメモも一緒に送ってやります。
「1番」と書かれたメモです。



メモを見たWebサーバさんは「さっきログインするためのページを送ったピヨ太からIDとパスワードが送られてきた」と分かります。
手元には「1番：ピヨ太」と書かれたメモがありますからね。
IDとパスワードが合っていれば会員ページを送ってあげても問題ないでしょう。



ピヨ太パソコンとWebサーバさんのやり取りは

１．ログインするためのページの受け渡し
２．会員ページの受け渡し

の2回です。



ただし、この2回のページの受け渡しは一連の流れです。
論理的に考えれば

１．会員ページにログインする

という1回のやり取りと解釈できるでしょう。

ピヨ太パソコンから出された「ログインするためのページをおくれ」な お願いがログイン処理の開始と判断できます。
Webサーバさんから会員ページが渡された時点がログイン処理の終了です。



この一連の流れ、開始から終了までがセッションです。
※実際にはログインからログアウトまでを1つのセッションとして扱うことが多いですが、とりあえずは気にしないでください。



ピヨ太パソコンとWebサーバさんの間で、実際にやり取りした回数は「2回」です。
やり取りした回数を「2ページ」と表現した場合は、実際にやり取りした回数を指します。

論理的な意味でやり取りした回数は「1回」です。
やり取りした回数を「1セッション」と表現した場合は、論理的な意味でやり取りした回数を指します。

ここまでの説明でセッションについては何となく分かったでしょうか。
次に「セッションID」の説明をします。

セッションIDは「セッションに紐付けた識別用のID」です。
セッションの背番号みたいなものですね。

先ほどの会員ページにログインする例を思い出してください。

本来、Webサーバさんは前回のお願いとのつながりを意識しません。
常に一期一会です。



ですが

整理番号を払い出しちゃうぜ作戦

によって「さっきログインするためのページを送ったピヨ太からIDとパスワードが送られてきた」と分かるようになりました。
一期一会だったのを「あぁ、また来たのね」と分かるようにしたわけです。



この仕組みで登場した「整理番号」に相当するものがセッションIDです。

セッションIDはセッションの開始時に払い出します。
以降はセッションIDを受け渡しすることで、どのセッションかを識別します。

以上がセッションIDの説明です。
あとは「なりすまし」について説明しておきましょう。

なりすましは「他の人のふりをすること」です。
コンピュータ関係以外で出てくる「なりすまし」と意味は同じです。



以上を踏まえて

他人が使っているセッションIDを盗んで勝手に使うことで、そいつの振りをする悪いこと

が「セッションハイジャック攻撃」です。
飛行機のハイジャックとイメージは同じです。
他人のセッションを乗っ取ることで、なりすましをやります。

もう一度、先ほどの会員ページにログインする例を思い出してください。

本来、Webサーバさんは前回のお願いとのつながりを意識しません。
常に一期一会です。



ですが

整理番号を払い出しちゃうぜ作戦

によって「さっきログインするためのページを送ったピヨ太からIDとパスワードが送られてきた」と分かるようになりました。
一期一会だったのを「あぁ、また来たのね」と分かるようにしたわけです。



ピヨ太パソコンに割り振られた整理番号（セッションID）は「1番」です。
Webサーバさんは自分のところに「1番：ピヨ太」とメモってあります。

ここで問題です。
もしアクマパソコンが「1番」と書かれたメモを送ってきたら、どうなるでしょうか。



そうですね。
Webサーバさんは「あっ！ピヨ太が来た」と勘違いしてしまいます。
Webサーバさんからすれば「1番」と書かれたメモを持ってくるのはピヨ太パソコンであるはずだからです。



この状況は、アクマパソコンが

１．ピヨ太パソコンのセッションIDを（盗んで）勝手に使い
２．ピヨ太パソコンのセッションを乗っ取ることで
３．ピヨ太パソコンになりすました

と言えるでしょう。

このような

１．セッションIDを（盗んで）勝手に使い
２．セッションを乗っ取ることで
３．そいつになりすます

悪いことがセッションハイジャック攻撃です。

……というのが、少し話を単純化した説明です。
実際には、必ずしもセッションIDを盗むとは限りません。
何らかの方法で

セッションを乗っ取る

のがセッションハイジャック攻撃です。