令和2年度 III-33

解説

この問題で問われていること

Cookieの属性(Secure、HttpOnly、Domainなど)の意味を確認する問題。

解き方

① Cookieの属性: Secure=HTTPSのときだけ送る、HttpOnly=JavaScriptから読めない、Domain=指定したドメインに送る。値は利用者が見たり変えたりでき、個数や長さには上限がある
② ②は送信先が逆、③HttpOnlyの意味が違う、①⑤は言い切りが誤り
③ ④

正解が正しい理由

Secure属性を付けたCookieは、HTTPS(暗号化された通信)の場合にのみ、サーバーに送信される。盗聴による漏えいを防ぐための属性である。したがって④が正しい。

各選択肢について

• ① Cookieに保存されている値は、ブラウザの機能などで、利用者が参照・変更できる。
• ② Domain属性は、Cookieを送信する対象のドメインを指定するもので、指定されたドメイン(およびそのサブドメイン)の場合に送信される。「以外の場合のみ」は誤り。
• ③ HttpOnly属性はJavaScriptからのCookieアクセスを禁止するもので、HTTP通信のみ送信するという意味ではない(XSSによるCookie窃取対策)。
• ④ Secure属性を付けたCookieは、HTTPS通信の場合のみ送信される。これが正答。
• ⑤ ブラウザ側でCookieが保持できる個数や、1つの長さには、制限がある(一般に、1つ当たり4KB程度、ドメインごとに個数の上限がある)。

覚えるべきポイント

Secure=HTTPSのみで送信、HttpOnly=JavaScriptから読めない(XSS対策)、Domain/Path=送信範囲、SameSite=クロスサイトでの送信制限(CSRF対策)。