令和6年度春期 情報処理安全確保支援士 午前Ⅱ 問13

午前II 問13：HSTSは「次から必ずHTTPSで来てね」と覚えよう

HSTSは、Webサーバがブラウザに「このサイトへは、しばらくの間ずっとHTTPSだけでアクセスしてね」とお願いする仕組みだよ。一度その指示を受けたブラウザは、次回からHTTPでつなごうとしても自動的にHTTPSを使うので、途中で安全でないHTTP通信に戻される攻撃を防ぎやすくなるんだ。

この問題で問われていること

この問題では、HSTSが「HTTPS利用をブラウザに強制してダウングレードを防ぐ仕組み」だと見抜こう。EV証明書の表示、通信データの圧縮、TLSのセッション再開とは役割が違うので、そこをしっかり区別しよう。

HSTS

一度 HSTS を受けたブラウザは次回以降 HTTP を使わない。

初回HTTPS応答\n-> HSTS受信\n-> 以後HTTPS強制

確認ポイント

• EV 証明書表示の話ではありません。
• 圧縮や TLS セッション再開の仕組みでもない。
• 指定期間 HTTPS 接続を強制する説明を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。EV SSL証明書かどうかでブラウザのアドレス表示を変える、というのは証明書の見せ方の話だよ。たとえるなら、お店の看板に『厳しく審査済み』と目立つマークを付けるかどうかの話で、HSTSのように『この店に行くときは必ず安全な道を使う』とブラウザに覚えさせる話ではないよ。

選択肢イ

これは不正解だよ。これはHSTSではなく、秘密の文字列が通信サイズの変化から推測されるのを防ぐための圧縮まわりの対策の話だよ。たとえるなら、手紙の封筒のふくらみ具合から中身を当てられないように詰め物を工夫する感じで、HSTSの「必ず安全な道を通ってね」という仕組みとは別物だよ。

選択肢ウ

これは不正解だよ。これはTLSのセッション再開や再ハンドシェイクに近い話で、HSTSの説明ではないよ。たとえるなら、前に受付で本人確認した記録を使って次の入館手続きを少し楽にする話であって、「この建物へは今後、必ず正面の安全な入口から入ってね」と決めるHSTSとは目的が違うよ。

選択肢エ（正解）

これは正解だよ。HSTSは、Webサイトがブラウザに『今後しばらく、このサイトには必ずHTTPSで来てね』と覚えさせる仕組みだよ。たとえるなら、一度安全な正門の場所を教えてもらったら、次から裏口や危ない近道を使わず、必ず正門から入るようにする感じだよ。HTTPでアクセスしようとしても、ブラウザがHTTPSに切り替えてくれるんだ。