情報処理安全確保支援士試験 令和3年度 秋期 午前II 問10

【正解】ウ

cookieのSecure属性は、そのcookieを安全な通信路だけで送信させるための指定です。Secure属性を設定すると、Webブラウザは原則としてURLのスキームがhttpsである場合に限って、そのcookieをサーバへ送出します。HTTP通信でcookieが平文のままネットワーク上を流れることを防ぎ、通信の盗聴によってセッションIDなどを奪われる危険を低減できます。したがって、ウが正解です。ただし、Secure属性は通信経路を制限するものであり、cookie自体を暗号化する機能ではありません。

アの有効期間を過ぎるとcookieが無効になるという動作は誤りです。これは、Expires属性又はMax-Age属性によって有効期限や保持期間を指定した場合の説明です。

イのJavaScriptによる読出しを禁止するという動作は誤りです。これはHttpOnly属性の説明です。HttpOnly属性は、悪意あるスクリプトによるセッションcookieの窃取を困難にします。

エのURLのパスとcookieに指定されたパスの関係によって送出範囲を制限するという動作は誤りです。これはPath属性の説明です。指定したパスの範囲に該当する要求でcookieが送出されます。

【ポイント】 SecureはHTTPS通信への限定、HttpOnlyはJavaScriptからの読出し制限、SameSiteはクロスサイト要求での送信制御です。 各属性が守る対象を区別して覚えることが、cookie関連問題の基本です。