Why should application developers change the session ID names used by common web application development frameworks?

Đáp án đúng: "These session ID names can be used to fingerprint the application framework employed.". Mỗi framework phổ biến đặt tên mặc định cho cookie phiên, ví dụ PHPSESSID của PHP, JSESSIONID của Java EE hay ASP.NET_SessionId của ASP.NET; chỉ cần nhìn tên cookie, kẻ tấn công đã biết ứng dụng chạy trên nền tảng nào để tra các lỗ hổng đã biết của nền tảng đó, đây là fingerprinting (lấy dấu vân tay ứng dụng). Đổi tên mặc định làm việc nhận diện khó hơn. "These session ID names are not published in public documents." sai vì ngược lại, các tên này được công bố rộng rãi trong tài liệu của framework, chính vì thế chúng mới dễ bị dùng để nhận diện. Ý "are used randomly and make integration of frameworks impossible" sai vì tên session ID là cố định chứ không ngẫu nhiên, và tên của nó không ảnh hưởng tới việc tích hợp. Ý "typically contain a short length of numerical numbers and can be easily cracked" nhầm giữa tên cookie với giá trị session ID; khả năng chống đoán nằm ở giá trị ngẫu nhiên đủ dài, còn đổi tên không làm giá trị khó đoán hơn.