【情報処理安全確保支援士試験令和5年度秋期午後問1 No.4】

情報処理安全確保支援士試験令和5年度秋期午後問1

仮に、攻撃者が用意したドメインのサイトに図4と同じスクリプトを含むHTMLを準備し、そのサイトにWebアプリQのログイン済み会員がアクセスしたとしても、Webブラウザの仕組みによって攻撃は成功しない。この仕組みを、40字以内で答えよ：スクリプトから別ドメインのURLに対してcookieが送られない仕組み

問題文の状況においては、WebアプリQの商品レビュー機能でスクリプトが稼働して、cookie情報を含む画像をアップロードしています。
そして、WebアプリQのログイン機能と商品レビュー機能の投稿ページは、いずれもWebアプリQのドメインのサイト（□□□.co.jp）の中で行われます。
一方、設問では攻撃者が用意したサイトとあり、仮にWebアプリQの投稿ページを模倣したHTMLを準備したとして、WebアプリQのログイン機能と、攻撃者の投稿ページではドメインが異なることになります。
この場合、ログインした際にWebアプリQが発行したcookieが別ドメインへのアクセスで使用されることはありません。
これはWebブラウザのセキュリティ機能の一つであるSOP（Same-Origin Policy、同一生成元ポリシー）という、生成元が異なるリソース間でアクセスや操作を制限する仕組みによるものです。