平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11
テクノロジ／セキュリティcookie に secure 属性を設定しなかったときと比較した，設定したときの動作の差として，適切なものはどれか。
出典：平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11
- アcookie に設定された有効期間を過ぎると，cookie が無効化される。
- イJavaScript による cookie の読出しが禁止される。
- ウURL のスキームが https のときだけ，Web ブラウザから cookie が送出される。
- エWeb ブラウザがアクセスする URL 内のパスと cookie に設定されたパスのプレフィックスが一致するとき，Web ブラウザから cookie が送出される。
正解：ウ
解説
cookie に secure 属性を設定すると，その cookie は HTTPS（TLS で保護された通信）でアクセスされたときだけ，Web ブラウザからサーバへ送出されるようになり，暗号化されていない HTTP 通信では送出されなくなります。これにより，通信経路上で cookie が盗聴されるリスクを低減できます。なお，cookie の有効期間による無効化やパスのプレフィックス一致による送出条件は secure 属性の有無にかかわらず適用される一般的な cookie の仕様であり，JavaScript による読出しの禁止は HttpOnly 属性によって実現されるものです。
選択肢ごとの解説
- ア誤り。cookie の有効期間が過ぎると無効化されることは，secure 属性の設定の有無にかかわらず適用される一般的な cookie の仕様です。
- イ誤り。JavaScript による cookie の読出しを禁止するのは HttpOnly 属性の機能であり，secure 属性の機能ではありません。
- ウ正しい。secure 属性を設定すると，URL のスキームが https のときだけ，Web ブラウザから cookie が送出されるようになります。
- エ誤り。URL 内のパスと cookie に設定されたパスのプレフィックスが一致するときに cookie が送出されることは，secure 属性の設定の有無にかかわらず適用される一般的な cookie の仕様です。