令和元年度秋期 情報処理安全確保支援士 午前Ⅱ 問11

午前II 問11：CookieのSecure属性は「HTTPS専用パス」だよ

Cookie に Secure 属性を付けると、その Cookie は HTTPS の通信のときだけ送られるよ。たとえるなら、「この荷物は鍵付きの安全な配送ルートでしか運ばないでね」と指定するイメージだね。JavaScript から読めないようにするのは HttpOnly、どのURLパスに送るかを決めるのは Path、有効期限を決めるのは Expires の役割だよ。

この問題で問われていること

この問題では、Cookie の Secure 属性が「HTTPS のときだけ送信するための設定」だと分かっているかが問われているよ。HttpOnly や Path、Expires とは役割が違うので、それぞれの担当を混同しないように整理しよう。

Secure 属性

Secure 属性は Cookie の送信経路を HTTPS に限定する属性であり、平文 HTTP では送らせない。

Secure 属性\n-> HTTPS のときだけ送信

確認ポイント

• JavaScript から読めなくするのは HttpOnly です。
• パス一致は Path 属性の条件です。
• https のときだけ送出される説明を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。有効期限を過ぎたCookieが使えなくなるのは、お弁当の賞味期限が切れたら食べない、という話に近いよ。これはExpiresやMax-Ageなど有効期限の設定の話で、Secure属性の説明ではないんだ。

選択肢イ

これは不正解だよ。JavaScriptからCookieを読めなくするのは、玄関の合鍵を机の上に置かず金庫にしまうようなもので、HttpOnly属性の役目なんだ。Secure属性は「金庫にしまう」話ではなく、「安全な配送ルートだけ使う」話だよ。

選択肢ウ（正解）

これは正解だよ。Secure属性を付けたCookieは、大事な手紙を暗号化された安全な配達便でしか送らないイメージだね。つまりURLがhttpsのときだけブラウザからCookieが送られ、httpのような安全でない通信では送られないよ。

選択肢エ

これは不正解だよ。URLのパスとCookieのPathが合うときだけ送るのは、建物の中で「この通行証は3階の窓口だけ有効」と決めるようなものだよ。これはPath属性の話で、Secure属性の「httpsのときだけ送る」という話とは別なんだ。