平成29年度 春期 応用情報技術者試験 午前 問44
テクノロジ／セキュリティ攻撃にHTTP over TLS（HTTPS）が使われた場合に起こり得ることはどれか。
出典：平成29年度 春期 応用情報技術者試験 午前 問44
- アHTTPSを使ったSQLインジェクション攻撃を受けると，Webアプリケーションでデータベースへの不正な入力をチェックできないので，悪意のあるSQLが実行されてしまう。
- イHTTPSを使ったクロスサイトスクリプティング攻撃を受けると，Webブラウザでプログラムやスクリプトを実行しない設定にしても実行を禁止できなくなるので，悪意のあるWebサイトからダウンロードされたプログラムやスクリプトが実行されてしまう。
- ウHTTPSを使ったブルートフォース攻撃を受けると，ログイン試行のチェックができないので，Webアプリケーションでアカウントロックなどの対策が実行できなくなってしまう。
- エ攻撃者が社内ネットワークに仕掛けたマルウェアによってHTTPSが使われると，通信内容がチェックできないので，秘密情報が社外に送信されてしまう。
正解：エ
解説
HTTPSは通信経路を暗号化しますが，Webブラウザなど通信の終端では通常どおり復号された内容が扱われます。社内のマルウェアが外部とHTTPS通信を行うと，ネットワーク上の監視装置は暗号化された内容を検査できないため，秘密情報が社外へ送信されても検知・遮断が困難になります。
選択肢ごとの解説
- ア誤り。SQLインジェクション対策は通信の暗号化の有無に関係なく，Webアプリケーション側の入力チェックで行うべきものであり，HTTPSが直接の原因ではありません。
- イ誤り。クロスサイトスクリプティング対策としてのブラウザの実行禁止設定は，通信が暗号化されているかどうかに関わらず有効に機能します。
- ウ誤り。ブルートフォース攻撃に対するアカウントロックなどの対策は，Webアプリケーション側のログイン処理で行うものであり，HTTPSの利用有無に直接左右されません。
- エ正しい。HTTPSにより通信内容が暗号化されると，ネットワーク上の監視装置が内容をチェックできなくなり，マルウェアによる秘密情報の外部送信を見逃してしまう恐れがあります。