電気通信事業法

電気通信事業の運営と利用者の利益の保護を定めた法律。通信の秘密の保護、事業者の登録・届出、提供条件の説明義務などを規定し、cookie等の外部送信に関する規律も設けられている。

Webサイトやアプリで、Cookieなどによる利用者情報の取得・利用や第三者への提供について、利用者の同意を取得・記録・管理する仕組みやツール。同意を求めるバナーの表示、目的ごとの同意・拒否の選択、同意の撤回の受付、同意状況の記録と、それに応じたタグの制御などを行う。GDPRや電気通信事業法の外部送信規律への対応に使われる。

薬物犯罪や組織的な殺人など一定の重大な犯罪の捜査のために、裁判官が発する令状に基づいて電話や電子メールなどの通信を傍受することを認め、その要件と手続を定めた法律。正式名称は「犯罪捜査のための通信傍受に関する法律」。通信の秘密を制約するため対象の犯罪や手続が厳格に定められており、2016年の改正で対象の犯罪が拡大された。

認証後の利用者を識別するセッションIDを、盗聴、推測、クロスサイトスクリプティングなどで攻撃者が取得し、その利用者になりすましてサービスを不正に利用する攻撃。推測が困難なセッションIDの使用、通信の暗号化、ログイン後のセッションIDの再発行で対策する。

Webサーバにアクセスし、受け取ったHTMLなどを解釈してWebページを表示するクライアントソフトウェア。URLのスキームから接続先のポート番号を決め（httpは80番、httpsは443番）、ホスト名をDNSで名前解決してHTTPのリクエストを送る。HTTPSではサーバ証明書を検証し、CookieのSecure属性やHSTSの指示に従って暗号化した通信だけを使うなど、Webのセキュリティ機能の多くはブラウザ側で働く。