平成28年度秋期 情報処理安全確保支援士 午前Ⅱ 問9

CookieのSecure属性は「HTTPS専用の通行証」だよ

CookieにSecure属性を付けると、そのCookieはURLがhttpsのときだけブラウザから送られるよ。たとえば「大事な手紙は鍵付きの安全な配送ルートだけで送ってね」と指定するイメージだね。httpのような暗号化されていない通信では送られないので、Cookieを盗み見されるリスクを減らせるんだ。

この問題で問われていること

この問題では、Secure属性の役割を正しく見分けよう。Secureは「HTTPSのときだけCookieを送る」ための属性だよ。JavaScriptから読めなくするHttpOnly、送信先のパスを絞るPath、有効期限を決めるExpiresとは目的が違うので、そこを混同しないようにしよう。

Secure 属性の効果

Secure 属性は送信条件を制限するものであり、有効期限や JavaScript 読出し可否を決めるものではありません。

Secure 属性\n-> https 時だけ送出

確認ポイント

• JavaScript 読出し禁止は HttpOnly です。
• Path 一致条件や有効期限は別属性です。
• https 時だけ送る説明を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。有効期間を過ぎるとCookieが無効になる、という説明はExpires属性やMax-Age属性の話だよ。たとえるなら、入館証に『この日まで有効』と期限が書いてある感じ。Secure属性は期限ではなく、『HTTPSのときだけ送る』という安全な送り方の指定だよ。

選択肢イ

これは不正解だよ。JavaScriptからCookieを読めなくするのはHttpOnly属性の役割だよ。たとえるなら、店員さんだけが見られるメモにして、お客さん側の画面からは見えないようにする感じ。Secure属性の説明ではないよ。

選択肢ウ（正解）

これが正解だよ。Secure属性を付けたCookieは、URLがhttpsの安全な通信のときだけブラウザから送られるよ。たとえるなら、大事な合鍵は普通郵便では送らず、鍵付きの専用便のときだけ渡す、というルールだね。HTTPでは盗み見されやすいので送らないようにするんだ。

選択肢エ

これは不正解だよ。URLのパスがCookieのPath属性と合うとCookieを送る、という説明だよ。たとえるなら、『この支店宛ての書類だけ渡してね』という配達先ルールみたいなもの。Secure属性は通信がHTTPSかどうかを見るルールだよ。