> 限られた環境下で、限られたユーザしか、アクセスできないサイトであるため、
> セッションIDをURLに含めることで、セキュリティ上問題はないと、判断しております。
> ただ....
> セッションIDが第三者に容易に知られてしまうため、もし、
> 悪意あるユーザが居た場合、セッションの乗っ取り等が発生しうる状況です。
上記の「ただ....」より前と後で完全に矛盾してます。
「ただ....」より前に述べられた環境だから URL にユーザー認証に使うセッション ID を埋め込んでも問題ないと判断してその方向に進むと決めたのに、よく考えてみたらやっぱりセキュリティ的に問題がありそうだという気がしてきたのでしょうか？
セキュリティの懸念があるのなら、ASP.NET 標準のフォーム認証を使い、認証チケットの授受にはクッキーを使って、ログインする時に ID とパスワードを送信する際はもちろん、認証チケットの授受を行う際にも SSL を使うことをお勧めします。
そうすると、先のスレッドにあったような IE8+ のセッション共有の問題は避けられませんが、セキュリティとどちらが重要かで判断するのでしょうね。
とりあえず質問に回答します。
> URL上のセッションIDの部分を何らかの方法で隠ぺいすることができるか？
「隠ぺい」というのは https://xxx/xxxx/セッションID/xxx/.... という URL でセッション ID の部分を暗号化するという意味だと思いますが、できませんし、そもそも暗号化しても何の意味もないと思います。
暗号化できたとしても、Web サーバーはそれを有効なセッション ID として受け付けるのですから、暗号化されたセッション ID を第三者に盗聴されてセッションハイジャックされたら何ともならないですよね。
> ユーザID等サイトアクセスのキーとなる情報をURL末尾に付与する必要性が発生した場合、何らかの方法で隠ぺいすることができるか？
そんなことをする必要は全くないはずです。どんな事情があるか知りませんが、そんなことは考えもしない方がいいと思います。
シングルサインオンを実現するなら Active Directory を使ったドメイン環境で統合 Windows 認証を使うべきです。URL に ID、パスワードを埋め込むなんてのは、自分に言わせれば完全に見当違いだと思います。
＃質問者さんは会社の仕事で Web アプリの開発をされているのでしょうか？ そうであれば、このような話は会社の上司、先輩などに聞く話だと思うのですが。会社として質問者さんをサポートする話ですよね。
