情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成27年度秋期 午前Ⅱ 問13: WebサーバがHTTPS通信の応答でCookieにSecure属性を設定したときのブラウザの処理はどれか。

正解

ウ. ブラウザは，Cookieの“Secure”を参照し，HTTPS通信時だけそのCookieを送信する。

問題の解説

CookieのSecure属性は、そのCookieをHTTPS(暗号化)通信のときだけブラウザが送信するよう指示するフラグ。これにより平文HTTP上での盗聴によるセッションCookie漏えいを防ぐ。よってHTTPS時だけ送信するウが正しい。実務ではセッションCookieにSecureとHttpOnlyを併用し、傍受とスクリプト読取りの双方を抑止する。

選択肢ごとの解説

• ア有効時間で削除を制御するのはExpires/Max-Age属性の働きで、Secureに値や時間は伴わない。
• イ送信先ホストを指定するのはDomain属性の役割であり、Secureはホスト指定をしない。
• ウSecure属性によりHTTPS通信時に限ってCookieを送信する点を正しく述べており正解。
• エブラウザ終了時に削除されるのは有効期限を指定しないセッションCookieの挙動で、Secureとは無関係。