로그인 성공 뒤에도 로그인 전 세션 ID를 그대로 사용한다. 필요한 조치는?

정답 3번

세션 고정 공격에서는 공격자가 미리 알고 있거나 피해자에게 설정한 로그인 전 세션 ID가 인증 후에도 유효한 것이 문제다. 로그인에 성공하면 새롭고 예측 불가능한 ID로 인증 세션을 만들고 이전 ID는 인증 세션에 접근하지 못하게 무효화해야 한다. 권한 값만 올리면 공격자가 아는 ID가 그대로 인증된 상태가 된다. 쿠키 이름 변경이나 로그아웃 시점의 교체도 로그인 직후의 재사용 위험을 제거하지 못한다.