令和3年度春期 情報処理安全確保支援士 午前Ⅱ 問15

HSTSは「次から必ずHTTPSで来てね」とブラウザに覚えさせる仕組みだよ

HSTSを使っているWebサイトにブラウザがアクセスすると、そのサイトはブラウザに「この先しばらくは、HTTPじゃなくて必ずHTTPSでアクセスしてね」と指示できるよ。たとえるなら、お店が入口に『次回からは安全な専用入口だけ使ってください』と案内して、利用者側もそれを覚えておくイメージだね。これによって、攻撃者が通信をHTTPに引き下げようとするSSLストリッピング攻撃への対策になるよ。

この問題で問われていること

この問題では、HSTSを『同一オリジンポリシ』や『Cookieを必ず送る仕組み』と勘違いしないことが大事だよ。HSTSの役割は、アクセスを一定期間HTTPSに強制して、安全な通信経路を使わせることだと押さえよう。

HSTS の動作

HSTS を受け取ったブラウザは、その後 HTTP でアクセスしようとしても HTTPS へ自動的に切り替える。

HSTS ヘッダ受信\n-> 以後 HTTPS を強制

確認ポイント

• 同一オリジン制限の説明ではありません。
• Cookie を属性無視で送る仕組みでもない。
• その後のアクセスを HTTPS に強制する説明を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは間違いだよ。この文は「HSTSを使うサイトにHTTPでアクセスした場合」という状況を言っているだけで、HSTSが何をする仕組みなのかを説明できていないよ。HSTSのポイントは、その後のアクセスをHTTPSに強制することなんだ。

選択肢イ

これは正解だよ。HSTSは、ブラウザに「次からこのサイトへ行くときは、必ずHTTPSという鍵付きの道を使ってね」と覚えさせる仕組みなんだ。たとえるなら、一度安全な窓口だと確認したら、次回以降は危ない裏口ではなく必ず正面の鍵付き入口へ案内する感じだよ。

選択肢ウ

これは間違いだよ。これはHSTSではなく、別の出どころの情報を勝手に読めないようにする「同一オリジンポリシー」の説明だよ。たとえるなら、HSTSは「この店には必ず鍵付きの入口から入ってね」という決まりで、他の店の帳簿を読ませない仕組みとは別物だよ。

選択肢エ

これは間違いだよ。HTTPSは「封筒に入れて手紙を送る」みたいに通信を守る仕組みだけど、cookieを送るかどうかはcookieの属性やブラウザのルールで決まるんだ。HSTSはcookieを無理やり送る仕組みではないよ。