令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問題 問10
テクノロジセキュリティ技術Webアプリケーション・ソフトウェアの脆弱性
cookieにSecure属性を設定しなかったときと比較した，設定したときの動作として，適切なものはどれか。
解答・解説
正解: ウ. URL内のスキームがhttpsのときだけ，Webブラウザからcookieが送出される。
Secure属性は、WebブラウザがWebサーバにcookieを送信する際の条件を指定する属性の一つです。この属性を設定すると、通信経路が暗号化されているHTTPS通信のときのみcookieが送出されるようになり、ネットワーク経路上でのcookieの盗聴を防ぐことができます。
したがって、URL内のスキームがhttpsのときだけ送出されると記述している「ウ」が適切です。
各選択肢の解説
- ア: cookieに設定された有効期間を過ぎると無効化される動作は、Expires属性やMax-Age属性を設定したときのものです。
- イ: JavaScriptによるcookieの読出しが禁止される動作は、HttpOnly属性を設定したときのものです。クロスサイトスクリプティング（XSS）によるcookieの盗聴を防ぐために用いられます。
- ウ: 正解。Secure属性を設定したときの動作です。
- エ: WebブラウザがアクセスするURL内のパスとcookieに設定されたパスが一致するときだけ送出される動作は、Path属性を設定したときのものです。