ぴよパス情報セキュリティマネジメント試験 科目A テクノロジ 練習問題 第8問: HTTPS でログインさせる会員サイトを点検したところ、ログイン後にセッション ID を入れて発行する Cookie が、暗号化されていない HTTP の通信で
この科目 –/12 解いた
中級推定正答率 約 48%
HTTPS でログインさせる会員サイトを点検したところ、ログイン後にセッション ID を入れて発行する Cookie が、暗号化されていない HTTP の通信でもブラウザから送られる設定になっていると指摘された。この指摘に対する対策として、最も適切なものはどれか。
解答と解説を先に見る
正解: 4. Cookie に Secure 属性を加え、暗号化された HTTPS の通信のときだけその Cookie を送らせる。
「Cookie に Secure 属性を加え、HTTPS の通信のときだけ送らせる」が適切です。IPA「安全なウェブサイトの作り方 改訂第7版」は、Secure 属性を設定した Cookie は HTTPS 通信のみで利用され、この属性が無いと HTTPS で発行した Cookie が暗号化されていない HTTP 通信でも使われ、盗聴で取られるおそれがあるとしています。HttpOnly 属性は HTML 内のスクリプトからの Cookie へのアクセスを禁じるもので、クロスサイト・スクリプティングへの保険的な対策です。セッション ID を URL パラメータに入れると、Referer でリンク先に送られてしまいます。X-Frame-Options はクリックジャッキングへの対策です。Cookie の属性ごとの役割の違いを押さえましょう。
関連キーワード: cookie・Secure 属性・HttpOnly・HTTPS・セッションハイジャック
広告