平成30年度秋期 情報処理安全確保支援士 午前Ⅱ 問12

HSTSは「次から必ずHTTPSで来てね」とブラウザに覚えさせる仕組みだよ

HSTSは、Webサイトがブラウザに対して「このサイトへは一定期間、必ずHTTPSで接続してね」と伝える仕組みだよ。一度覚えたブラウザは、その後HTTPでアクセスしようとしても自動的にHTTPSへ切り替える。たとえるなら、お店が常連さんに「次回からは安全な入口だけ使ってね」と案内しておく感じ。攻撃者が途中でHTTPSをHTTPにすり替えるSSLストリッピング対策に役立つよ。

この問題で問われていること

この問題では、HSTSの役割を正しく選べるかがポイントだよ。証明書の表示、通信データの圧縮、TLSセッション再開のような話ではなく、「ブラウザにHTTPS接続を強制させる仕組み」がHSTSだと区別しよう。

HSTS の動作

ブラウザは HSTS を受け取ると、有効期間中は対象ドメインへ HTTP でアクセスしようとしても HTTPS を使う。

HSTS ヘッダ受信\n-> 一定期間\n-> HTTPS のみ接続

確認ポイント

• アドレスバー色表示の話ではありません。
• 圧縮や TLS セッション再開の説明でもない。
• 以後 HTTPS でのみ接続する説明を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。EV SSL証明書の表示は、身分証をしっかり確認したお店に特別な看板を出すような話。昔のブラウザでは緑色表示などがあったけど、HSTSの本質は表示の色ではなく、「次回以降は必ずHTTPSで接続する」とブラウザに約束させることだよ。

選択肢イ

これはHSTSの説明ではないから不正解だよ。圧縮して秘密情報を分かりにくくする話は、荷物を小さく詰め直して中身を推測しにくくするような別の技術の話。HSTSはデータの圧縮ではなく、「このサイトへは必ずHTTPSで行く」とブラウザに覚えさせる仕組みだよ。

選択肢ウ

これはHSTSの説明ではないから不正解だよ。これは、いったん入った会議室の中で、もう一度別の合鍵を作り直すようなTLSの再ネゴシエーション系の話。HSTSは「次からこの店には必ず安全な入口、つまりHTTPSで来てね」とブラウザに覚えさせる仕組みなので、別物だよ。

選択肢エ（正解）

これは正解だよ。HSTSは、サイトがブラウザに「これから一定期間、このサイトへ来るときは必ず鍵付きの安全な入口、つまりHTTPSを使ってね」とメモを渡す仕組み。次にHTTPで行こうとしても、ブラウザが自動でHTTPSに直してくれるので、危ない入口に誘導されにくくなるよ。