令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問11
テクノロジ／セキュリティCookie に Secure 属性を設定しなかったときと比較した，設定したときの動作として，適切なものはどれか。
出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問11
- アCookie に設定された有効期間を過ぎると，Cookie が無効化される。
- イJavaScript による Cookie の読出しが禁止される。
- ウURL 内のスキームが https のときだけ，Web ブラウザから Cookie が送出される。
- エWeb ブラウザがアクセスする URL 内のパスと Cookie に設定されたパスのプレフィックスが一致するときだけ，Web ブラウザから Cookie が送出される。
正解：ウ
解説
Cookie に Secure 属性を設定すると，そのCookie は，URL のスキームが https であるとき，すなわち TLS によって暗号化された通信のときだけ，Web ブラウザから送出されるようになります。Secure 属性を設定しない場合は，暗号化されていない http 通信であっても Cookie が送出されてしまうため，通信経路上での盗聴によって Cookie の値（セッション ID など）が漏えいするおそれがあります。なお，JavaScript からの読出しの禁止は HttpOnly 属性，送出対象とするパスの範囲の制御は Path 属性による効果であり，Secure 属性とは異なります。
選択肢ごとの解説
- ア誤り。設定された有効期間を過ぎると Cookie が無効化されるのは Expires や Max-Age 属性による動作であり，Secure 属性の設定の有無とは関係がありません。
- イ誤り。JavaScript による Cookie の読出しを禁止するのは HttpOnly 属性の効果であり，Secure 属性の効果ではありません。
- ウ正しい。Secure 属性を設定すると，URL 内のスキームが https のときだけ，Web ブラウザから Cookie が送出されるようになります。
- エ誤り。Web ブラウザがアクセスする URL 内のパスと Cookie に設定されたパスのプレフィックスが一致するときだけ Cookie が送出されるのは Path 属性の効果であり，Secure 属性の効果ではありません。