平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12
テクノロジ／セキュリティHTTP Strict Transport Security（HSTS）の動作はどれか。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12
- アHTTP over TLS（HTTPS）によって接続しているとき，EV SSL 証明書であることを利用者が容易に識別できるように，Web ブラウザのアドレス表示部分を緑色に表示する。
- イWeb サーバからコンテンツをダウンロードするとき，どの文字列が秘密情報かを判定できないように圧縮する。
- ウWeb サーバと Web ブラウザとの間の TLS のハンドシェイクにおいて，一度確立したセッションとは別の新たなセッションを確立するとき，既に確立したセッションを使って改めてハンドシェイクを行う。
- エWeb サイトにアクセスすると，Web ブラウザは，以降の指定された期間，当該サイトには全て HTTPS によって接続する。
正解：エ
解説
HSTS（HTTP Strict Transport Security）は，Web サーバが HTTP レスポンスヘッダで指定した期間，Web ブラウザに対して以後そのサイトへは必ず HTTPS で接続するよう強制する仕組みです。これにより，利用者が誤って HTTP でアクセスした場合や，攻撃者が HTTPS 接続を HTTP にダウングレードさせようとする中間者攻撃（SSL ストリッピングなど）を防止できます。
選択肢ごとの解説
- ア誤り。EV SSL 証明書利用時にアドレスバーを緑色表示する機能は，ブラウザの UI 機能であり，HSTS の動作ではありません。
- イ誤り。秘密情報を判別できないようにコンテンツを圧縮するという動作は，HSTS の仕組みではありません。
- ウ誤り。既存のセッションを利用してハンドシェイクを簡略化するのは TLS のセッション再開（セッションレジューム）の仕組みであり，HSTS とは異なります。
- エ正しい。HSTS は，一度アクセスした Web サイトについて，指定された期間，ブラウザが常に HTTPS で接続するように強制する仕組みです。