平成30年度秋期 ネットワークスペシャリスト 午前Ⅱ 問18

通信の前提条件を整理する視点

この問題では、個別の用語や断定的な挙動を覚えるより、通信開始時の前提、適用される範囲、設定が反映されるタイミングを同じ軸で整理し、説明として矛盾がないかを確認しましょう。

この問題で問われていること

確認の中心は、示された説明が「いつ」「どの通信相手に」「どの条件で」効くものとして述べられているかです。仕組みの名称から連想せず、適用範囲と前提条件の対応だけを見比べてください。

視点

通信を保護する仕組みを検討するときは、設定の目的、成立に必要な前提、影響する通信の範囲、反映される時点を切り分けます。各説明が同じ条件を扱っているかを確認し、名称や印象だけで判断しないことが大切です。

確認ポイント

• 説明が対象とする通信の範囲を、他の条件と混同していないか
• 設定が有効になる前提条件と、説明中の条件が対応しているか
• 適用される時点を確認し、目的と手段を取り違えていないか

正解

イ

解説

指定された期間にWebサイトへのアクセスをHTTPSで行うようブラウザへ指示するのは、Strict-Transport-Securityヘッダフィールドです。これはHTTP Strict Transport Security（HSTS）を実現し、ブラウザにHTTPS利用を継続させる。

理由

Strict-Transport-Securityは、Webサイトがブラウザに対して、指定した期間はHTTPSでアクセスするよう通知するためのレスポンスヘッダです。ブラウザはこの指示を保持し、その期間中のアクセスにHTTPSを使用する。

比較

Content-Security-Policyは読み込み可能なコンテンツの出所などを制限する。X-Content-Type-OptionsはMIMEタイプの推測を抑止し、X-XSS-ProtectionはブラウザのXSS対策機能に関係するため、HTTPSの利用期間を指示する目的とは異なる。

選択肢ア

これは不正解だよ。Content-Security-Policyは、スクリプトや画像などのコンテンツをどの提供元から読み込めるかを制御するためのヘッダである。ブラウザに対し、指定期間中のアクセス方式としてHTTPSを要求する機能を表していない。

選択肢イ（正解）

これは正解だよ。Strict-Transport-Securityは、Webブラウザに対して一定期間HTTPSでのアクセスを行うよう指示するレスポンスヘッダである。HSTSを実現し、HTTPによるアクセスをHTTPSへ移行させるために用いられる。

選択肢ウ

これは不正解だよ。X-Content-Type-Optionsは、レスポンスのMIMEタイプをブラウザが内容から推測することを抑止するためのヘッダである。指定された期間の通信をHTTPSに限定する指示を行うものではない。

選択肢エ

これは不正解だよ。X-XSS-Protectionは、ブラウザに備わるクロスサイトスクリプティング対策機能に関係するレスポンスヘッダである。Webサイトへのアクセスを一定期間HTTPSで行わせるための通信方式指定とは役割が異なる。

学習のポイント

代表的なセキュリティ関連レスポンスヘッダの目的を区別して覚える。