平成27年度秋期 情報処理安全確保支援士 午前Ⅱ 問13

CookieのSecure属性は「HTTPSのときだけ渡すよ」という目印

CookieにSecure属性が付いていると、ブラウザはそのCookieをHTTPSのような暗号化された通信のときだけ送信するよ。たとえるなら、大事なメモを「鍵付きの安全な通路を通るときだけ持ち出してね」と指定しているイメージだよ。HTTPのような暗号化されていない通信では送られないんだ。

この問題で問われていること

この問題では、Secure属性が「安全な通信のときだけCookieを送るための設定」だと分かっているかがポイントだよ。Cookieの有効期限を決めるExpires属性や、送信先の範囲を決めるDomain属性とは役割が違うので、そこを混同しないようにしよう。

Secure 属性の効果

Secure 属性は送信条件を制御するものであり、有効期限や削除タイミングを指定するものではありません。

Secure 属性あり\n-> HTTPS 時のみ送信

確認ポイント

• 削除時刻を決める属性ではありません。
• 送信先ホスト名を指定する属性でもない。
• HTTPS 時だけ送信する説明を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。CookieのSecureは「いつ消すか」を決めるタイマーではないんだ。たとえるなら、Secureは合鍵に付いた「安全な窓口でだけ使ってね」という札であって、「何時になったら捨ててね」というメモではないよ。期限を決めるのはExpiresやMax-Ageの役目だよ。

選択肢イ

これは間違いだよ。Secureは「送る相手のホスト名」を指定するものではないんだ。たとえるなら、Secureは『安全な窓口でだけ渡す』というルールであって、『田中さんにだけ渡す』という宛先指定ではないよ。送信先の範囲を決めるのはDomainやPathの役目だよ。

選択肢ウ（正解）

これが正解だよ。CookieのSecureは「HTTPSの安全な通信のときだけ、このCookieを送ってね」という印なんだ。たとえるなら、大事な合鍵を普通郵便では送らず、鍵付きの安全な配送だけで送る感じだよ。HTTPのような暗号化されていない通信では送らないので、盗み見される危険を減らせるよ。

選択肢エ

これは間違いだよ。Secureは「ブラウザを閉じたら消す」という意味ではないんだ。たとえるなら、Secureは鍵を使える場所のルールであって、閉店時に鍵を回収するルールではないよ。ブラウザ終了時に消えるかどうかは、セッションCookieかどうかなど別の話だよ。