平成30年度春期 情報処理安全確保支援士 午前Ⅱ 問11

午前II 問11：CookieのSecure属性の役割を見分けよう

Secure属性は、Cookieに「HTTPSの安全な通信のときだけ持って行ってね」と指定するためのものだよ。たとえば、大事な会員証を暗号化された専用通路でだけ渡すイメージだね。JavaScriptからCookieを読ませないようにするのはHttpOnly、特定のURLパスに合うときだけ送る条件はPath属性の役割だよ。

この問題で問われていること

Secure、HttpOnly、Pathなど、Cookieの主要な属性がそれぞれ何を守ったり制御したりするのかを区別できるかがポイントだよ。

Secure Cookie Attribute

the Secure attribute causes the browser to send the cookie only over HTTPS

sent only over HTTPS\nnot about JavaScript access\nnot about expiration or path matching

確認ポイント

• Secure = HTTPS 限定。
• HttpOnly と区別する。
• Path や Expires と混同しない。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。有効期限を過ぎたらcookieが使えなくなる、という説明は「Expires」や「Max-Age」の話なんだ。お店の割引券に有効期限が書いてあって、期限切れなら使えない、というイメージだね。Secure属性の説明ではないよ。

選択肢イ

これは不正解だよ。JavaScriptからcookieを読めなくするのは「HttpOnly属性」の話なんだ。合鍵を受付の奥にしまって、外から勝手に触れないようにする感じだね。Secure属性はJavaScript対策ではなく、通信経路の制限だよ。

選択肢ウ（正解）

これは正解だよ。Secure属性を付けると、cookieはhttpsの通信のときだけブラウザから送られるんだ。大事なメモを普通のはがきでは送らず、封をした安全な便だけで送るイメージだね。httpでは盗み見されやすいので送らないようにする属性だよ。

選択肢エ

これは不正解だよ。URLのパスとcookieのPath属性が合うとcookieを送る、という説明は「Path属性」の話なんだ。建物の中で「このフロアの窓口だけで使える通行証」みたいなものだね。Secure属性の説明ではないよ。