令和4年度春期 情報処理安全確保支援士 午前Ⅱ 問14

HSTSは「このサイトにはHTTPSだけで来てね」とブラウザに覚えさせる仕組みだよ

HSTSは、Webサイトがブラウザに対して「しばらくの間、このサイトへは必ずHTTPSで接続してね」と伝える仕組みだよ。一度覚えたブラウザは、うっかりHTTPでアクセスしようとしても、自動的にHTTPSへ切り替えて接続するんだ。

この問題で問われていること

この問題では、HSTSが「HTTPS接続を強制する仕組み」だと分かるかがポイントだよ。証明書の表示、データ圧縮、TLSセッションの再開みたいな別の機能と混同しないように整理しよう。

HSTS の動作

一度 HSTS を受け取ったブラウザは、有効期間中に HTTP でアクセスしようとしても HTTPS へ切り替える。

HSTS ヘッダ\n-> 以後 HTTPS を強制

確認ポイント

• 緑色表示の話ではありません。
• 圧縮やセッション再開の仕組みでもない。
• 指定期間 HTTPS によって接続する説明を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。EV SSL証明書は、会社の実在性をより厳しく確認した証明書のことだけど、最近のブラウザでは昔のようにアドレスバーを緑色にして目立たせる扱いは基本的にされていないんだ。たとえるなら、身分証を厳しく確認した受付票ではあるけれど、入口の看板を必ず緑色に光らせるルールではない、という感じだよ。

選択肢イ

これは間違いだよ。Webの圧縮は、荷物を小さくまとめて運びやすくするようなもので、秘密情報かどうかを見分けられなくするための仕組みではないんだ。むしろ圧縮のされ方から秘密情報を推測される攻撃もあるので、『秘密を隠すために圧縮する』という説明は逆に危ない考え方だよ。

選択肢ウ

これは間違いだよ。TLSのセッション再利用や再開は、前に作った合鍵や受付記録を使って手続きを短くするイメージであって、『既に確立した別セッションの中で、新しいセッションのハンドシェイクを改めて行う』という説明ではないんだ。この選択肢はHSTSの説明でもないので、問題の答えとしては外れるよ。

選択肢エ（正解）

これは正しい説明だよ。これはHSTSのことだね。一度そのWebサイトにアクセスすると、ブラウザが『このお店には次から必ず鍵付きの正面入口、つまりHTTPSで入ろう』と覚える仕組みなんだ。泥棒が途中で『鍵なしの入口を使って』と誘導しても、ブラウザが指定期間中はHTTPSだけを使うので安全性が上がるよ。