平成26年度春期 情報処理安全確保支援士 午前Ⅱ 問10

午前II 問10：cookieのSecure属性は「HTTPSのときだけ渡す」合図だよ

Secure属性は、cookieの保存期間や使えるホスト名を決めるものではないよ。たとえるなら「この荷物は鍵付きの安全な道だけで運んでね」という札みたいなもので、暗号化されたHTTPS通信のときだけcookieを送る条件を表しているんだ。

この問題で問われていること

cookieの各属性が何を決めるのかを取り違えずに区別できるかがポイントだよ。Secure属性は『HTTPS限定で送る』ための属性だと押さえよう。

Secure Cookie Attribute

the Secure attribute tells the browser to send the cookie only over HTTPS connections

only on HTTPS\nnot expiry setting\nnot host-name binding

確認ポイント

• Secure は HTTPS 限定送信。
• 保存期限ではありません。
• HttpOnly など他属性と混同しない。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。Secure属性は「いつ消すか」を指定するものではないんだ。たとえるなら、Secureは「夜道ではなく安全な道で運んでね」という注意書きであって、「何時になったら捨ててね」という賞味期限シールではないよ。cookieの削除時刻はExpiresやMax-Ageで指定するんだ。

選択肢イ

これは間違いだよ。Secure属性は「どのホストに送るか」を指定するものではないんだ。たとえるなら、cookieに付いたSecureは「この合鍵は安全な専用通路だけで渡してね」という札であって、「この住所の家に届けてね」という宛先ラベルではないよ。送信先のホストはDomain属性などで決まるんだ。

選択肢ウ（正解）

これは正しい説明だよ。Secure属性が付いたcookieは、HTTPSのような暗号化された安全な通信のときだけ送られるんだ。たとえるなら、大事な合鍵を普通郵便では送らず、鍵付きの専用便でだけ送るイメージだよ。HTTPだと途中で盗み見される危険があるから、Secure付きcookieは送らないようにするんだ。

選択肢エ

これは間違いだよ。Secure属性は「ブラウザを閉じたら削除する」という意味ではないんだ。たとえるなら、Secureは合鍵を渡すときの「安全な窓口だけ使ってね」というルールであって、「店じまいしたら合鍵を捨ててね」というルールではないよ。ブラウザ終了時に消えるかどうかは、有効期限の指定がないセッションcookieかどうかで決まるんだ。