令和3年度秋期 情報処理安全確保支援士 午前Ⅱ 問10

午前II 問10：Cookie の Secure 属性は「HTTPS専用の通行証」だよ

Cookie に Secure 属性を付けると、ブラウザはその Cookie を HTTPS の通信のときだけ送るようになるよ。たとえるなら、大事な荷物を『鍵付きの安全な道だけで運んでね』と指定する感じだね。JavaScript から読めなくする HttpOnly、送る対象のURL範囲を決める Path、有効期限を決める Expires とは役割が違うよ。

この問題で問われていること

この問題では、Secure 属性の役割を正しく見分けられるかがポイントだよ。Secure は『HTTPS のときだけ Cookie を送る』ための設定であって、『JavaScript から読めなくする』設定や『特定のパスにだけ送る』設定ではない、と整理しよう。

Secure 属性

Secure は送信経路の条件を HTTPS に限定する属性です。

Secure 付き Cookie\n-> HTTPS のときだけ送信

確認ポイント

• JavaScript 読み出し禁止は HttpOnly です。
• パス条件は Path 属性で決まる。
• https のときだけ送出される説明を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは有効期限の説明だよ。お店のクーポンが期限切れになると使えなくなるのと同じで、ExpiresやMax-Ageを過ぎるとcookieは無効になる。でもSecure属性の説明ではないので不正解だよ。

選択肢イ

これはHttpOnly属性の説明だよ。窓口の人だけが扱えて、外からのぞく人には見せないイメージで、JavaScriptからcookieを読みにくくする設定。Secure属性の説明ではないので不正解だよ。

選択肢ウ（正解）

これが正解だよ。Secure属性は「大事な手紙は鍵付きの安全な配送だけで送ろう」という指定で、HTTPS通信のときだけブラウザがcookieを送るようにする仕組みなんだ。HTTPでは送らないので盗み見対策になるよ。

選択肢エ

これはPath属性の説明だよ。建物の中で「この合鍵は3階の部屋だけ使える」みたいに、URLのパスがcookieのPathに合うときだけ送る仕組みの話。Secure属性の説明ではないので不正解だよ。