情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成26年度春期 午前Ⅱ 問10: WebサーバがHTTPS通信の応答でcookieにSecure属性を設定したときのブラウザの処理はどれか。

正解

ウ. ブラウザは，cookieの“Secure”を参照し，HTTPS通信時だけそのcookieを送信する。

正答率 100.0%（1人中 1人が正解）

問題の解説

cookieのSecure属性は、そのcookieをHTTPS（暗号化）通信時にのみブラウザが送信するよう指示する仕組み。平文HTTPでは送られないため、セッションIDなどの盗聴を防げる。ウが正解。実務ではHttpOnly属性と併用し、XSSや盗聴によるセッションクッキー窃取への多層的な対策とする。

選択肢ごとの解説

• ア有効期限の指定はExpires/Max-Age属性で行うもので、Secureに値を続ける形式ではないため誤り。
• イ送信先ホストの指定はDomain属性の役割で、Secureはホスト名を伴わないため誤り。
• ウSecure属性によりHTTPS通信時だけcookieを送信するというブラウザの正しい挙動を述べており正しい。
• エブラウザ終了時の削除はセッションcookie（有効期限なし）の挙動で、Secureの機能ではないため誤り。