令和2年度10月 情報処理安全確保支援士 午前Ⅱ 問12

午前II 問12：CookieのSecure属性は“HTTPS専用パス”の目印だよ

WebサーバがCookieを発行するときにSecure属性を付けると、ブラウザは「このCookieは安全な道だけで運ぼう」と判断するよ。たとえるなら、貴重品を普通郵便ではなく、鍵付きの配送ルートだけで送るイメージだね。つまり、そのCookieはHTTPS通信のときだけ送信される。Cookieの削除時刻を決めるExpiresや、送信先のホスト名・ドメインを指定するDomainとは役割が違うよ。

この問題で問われていること

この問題では、Secure属性を「HTTPSのときだけCookieを送るための指定」と正しく理解できているかがポイントだよ。Expiresのような有効期限の指定や、Domainのような送信先範囲の指定と混同しないようにしよう。

Secure 属性の働き

Secure 属性は送信条件を HTTPS に限定するだけで、Cookie の寿命や削除タイミングを決めるものではありません。

Cookie に Secure\n-> HTTPS のときだけ送信

確認ポイント

• 時刻指定で削除する属性ではありません。
• ホスト名指定の属性でもない。
• HTTPS 通信時だけ送信する説明を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。cookieの有効期限を決めるのは“Expires”や“Max-Age”で、“Secure”ではないんだ。たとえるなら、合鍵に『いつまで使えるか』を書く欄と、『安全な窓口でだけ渡す』という印を付ける欄は別物、という感じだよ。

選択肢イ

これは間違いだよ。送信先のホスト名や範囲を決めるのは“Domain”属性で、“Secure=”にホスト名を書くわけではないんだ。“Secure”は行き先を指定する住所ラベルではなく、『安全なHTTPSの道だけ使ってね』という注意書きだよ。

選択肢ウ（正解）

これは正解だよ。“Secure”を付けたcookieは、ブラウザがHTTPS通信のときだけサーバへ送るんだ。たとえるなら、大事な合鍵を普通の道端では渡さず、警備付きの安全な窓口でだけ渡すルールにする感じだよ。

選択肢エ

これは間違いだよ。“Secure”はブラウザ終了時にcookieを消すための印ではないんだ。ブラウザを閉じたら消えるかどうかは、主に有効期限が設定されているかで決まるよ。“Secure”は『この合鍵は暗号化された安全な通路でだけ渡してね』という印だよ。