ログオフ

Log off

セキュリティ

「ログオフ（Log off）」とは、コンピュータシステムやネットワークサービスへの接続状態（セッション）を正規の手順で終了し、利用権限を手放す操作のことです。第三者による不正操作を防ぐための重要なセキュリティ行動です。

🐾 猫で例えると？

遊び疲れて顔が完全にオフ状態で眠る茶トラ猫 — 遊び疲れて完全にオフ状態の茶トラ

遊び終えた茶トラを、「遊び場の入場券を返して、その券ではもう入れなくなった状態」に見立てるとログオフです。眠っているだけなら再び起きられるように、画面を閉じる・ロックすることと、認証済みセッションを終えることは区別します。

💻 IT現場における「ログオフ」とは？

Webサービスのログアウトは、認証済みのセッションを終わらせる処理です。サーバーに保存するセッションでは、その情報を無効化してブラウザのCookieも消します。OSのログオフでは、その利用者のセッションとアプリが終了するため、未保存の作業にも注意が必要です。

特にWindows環境や社内ネットワーク（Active Directoryなど）では「ログオフ」、Webサービスでは「ログアウト」と呼ばれることが多いですが、本質的な役割は同じです。画面の「×」ボタンでブラウザを閉じただけでは、セッションがサーバー側に残ってしまい、次にPCを開いた人がそのまま操作できてしまう（セッションハイジャック）危険性があります。そのため、正規の手順でログオフすることがシステム運用上の鉄則とされています。

⚠️ ログオフの仕組みとセキュリティ上のメリット

ログオフでは、終了したセッションがその後の認証に使われないようにします。ただし、別の端末のセッションや発行済みトークンまで同時に失効するかは実装次第です。対象のセッションを終える操作と、PC自体への不正アクセス対策は分けて考えます。

セッション破棄の仕組み（Web開発の例）

次はexpress-sessionを設定済みで、Cookie名をsession_id、pathを/としている場合の例です。実際にはセッション作成時と同じCookie名・path・domain等に合わせ、ログアウト要求のCSRF対策も組み込みます。

// JavaScript (Express.js) でのログオフ処理の例
app.post('/log-off', (req, res) => {
    // セッションを破棄する
    req.session.destroy((err) => {
        if (err) {
            return res.status(500).send('ログオフに失敗しました');
        }
        // クライアント側のCookieをクリア
        res.clearCookie('session_id');
        // ログイン画面へリダイレクト
        res.redirect('/login');
    });
});

Cookieを消すだけでは、盗まれたセッションIDをサーバーが受け付け続ける可能性があります。逆に署名付きトークン方式はセッション削除だけでは失効できない場合があるため、期限や失効管理を設計します。「この端末だけ」と「全端末」のログアウトも別の機能です。

🛠️ ログオフを徹底するためのポイント

現場でシステムを利用・運用する際、ログオフ忘れによる情報漏洩（インサイダー脅威や物理的な乗っ取り）を防ぐために、以下の点に気をつけましょう。

共有PCでは絶対に忘れない： 学校、ネットカフェ、オフィスの共有端末では、作業終了時に必ずログオフボタンを押す癖をつけましょう。
自動ログオフ（タイムアウト）の導入： システムを開発する際は、一定時間操作がない場合に自動的にログオフさせる「セッションタイムアウト」機能を実装するのがベストプラクティスです。
ショートカットキーの活用： Windowsなら「Windowsキー + L」で素早く画面をロックできます。完全なログオフではありませんが、一時的な離席時の防衛策として有効です。

眠りに入る猫のように作業を終えるときは、サービスのログオフ操作でセッションを終了します。特に共有PCでは、ウィンドウを閉じただけでログイン状態が残っていないかに注意しましょう。一時的な離席で使う画面ロックと、利用を終えるログオフも使い分けます。