WebサーバがHTTP over TLS（HTTPS）通信の応答でcookieにSecure属性を設定するときのWebサーバ及びWebブラウザの処理はどれか。

選択肢

• アWebサーバでは、cookie発行時に“Secure=”に続いて時間を設定し、Webブラウザでは、指定された時間を参照し、指定された時間を過ぎている場合にそのcookieを削除する。
• イWebサーバでは、cookie発行時に“Secure=”に続いてホスト名を設定し、Webブラウザでは、指定されたホスト名を参照し、指定されたホストにそのcookieを送信する。
• ウWebサーバでは、cookie発行時に“Secure”を設定し、Webブラウザでは、それを参照し、HTTPS通信時にだけそのcookieを送信する。
• エWebサーバでは、cookie発行時に“Secure”を設定し、Webブラウザでは、それを参照し、Webブラウザの終了時にcookieの他の属性によらず、そのcookieを削除する。

正解と解説

正解：ウ Webサーバでは、cookie発行時に“Secure”を設定し、Webブラウザでは、それを参照し、HTTPS通信時にだけそのcookieを送信する。

Secureは値を伴わないフラグ形式の属性で、サーバがSet-Cookieに付与すると、ブラウザはそのcookieをHTTPS通信のときにしか送信しなくなる。平文のHTTP通信でセッションIDが流れて盗聴されるのを防ぐための属性であり、有効期限やスコープ、スクリプトからの遮蔽はそれぞれexpires、domain/path、HttpOnlyが担う。

選択肢ごとの解説

• ア有効期限を値として持つのはexpiresやmax-ageであり、Secureは値を取らない。
• イ送信先ホストの範囲を指定するのはdomain属性である。
• ウ正しい。Secureはフラグとして設定され、ブラウザはHTTPS通信時にだけそのcookieを送る。
• エブラウザ終了時に消えるのは有効期限を持たないセッションcookieの性質で、Secureとは関係がない。

この問題に出た用語

• TLS
• Cookieの属性
• Cookie

同じ分野の他の問題

• クロスサイトリクエストフォージェリ攻撃の対策として,効果がないものはどれか。2025年度 秋期 午前Ⅱ 問16
• クリックジャッキング攻撃に有効な対策はどれか。2022年度 秋期 午前Ⅱ 問11
• WAFにおけるフォールスポジティブに該当するものはどれか。2024年度 秋期 午前Ⅱ 問12
• Webサーバから送信されるHTTPヘッダーのうち、Webサーバからの応答の内容を、Webブラウザやプロキシサーバなどのキ…2024年度 春期 午前Ⅱ 問20
• HTTP Strict Transport Security(HSTS)の動作はどれか。2024年度 春期 午前Ⅱ 問13