令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問14
テクノロジ／セキュリティWeb サイトにおいて，全ての Web ページを TLS で保護するよう設定する常時 SSL/TLS のセキュリティ上の効果はどれか。
出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問14
- アWeb サイトでの SQL 組立て時にエスケープ処理が施され，SQL インジェクション攻撃による個人情報などの非公開情報の漏えいやデータベースに蓄積された商品価格などの情報の改ざんを防止する。
- イWeb サイトへのアクセスが人間によるものかどうかを確かめ，Web ブラウザ以外の自動化された Web クライアントによる大量のリクエストへの応答を避ける。
- ウWeb サイトへのブルートフォース攻撃によるログイン試行を検出してアカウントロックし，Web サイトへの不正ログインを防止する。
- エWeb ブラウザと Web サイトとの間における中間者攻撃による通信データの漏えい及び改ざんを防止し，サーバ証明書によって偽りの Web サイトの見分けを容易にする。
正解：エ
解説
常時 SSL/TLS（Always On SSL）とは，ログイン画面だけでなく，Web サイトの全てのページを TLS によって保護する設定のことです。これによって，Web ブラウザと Web サイトとの間でやり取りされる通信データ全体が暗号化されるため，中間者攻撃（盗聴や改ざん）を全ページにわたって防止できます。また，全てのページで正当なサーバ証明書の提示が必要になることから，利用者はサーバ証明書を確認することによって，フィッシングサイトなどの偽サイトを見分けやすくなります。
選択肢ごとの解説
- ア誤り。SQL 組立て時のエスケープ処理による SQL インジェクション対策は，アプリケーション側の入力処理の話であり，通信経路を暗号化する常時 SSL/TLS 自体の効果ではありません。
- イ誤り。アクセスが人間によるものかを確認し自動化されたリクエストへの応答を避ける仕組みは CAPTCHA などによるボット対策であり，常時 SSL/TLS の効果ではありません。
- ウ誤り。ブルートフォース攻撃によるログイン試行を検出してアカウントロックする仕組みはログイン制御機能によるものであり，通信の暗号化を行う常時 SSL/TLS の効果ではありません。
- エ正しい。Web ブラウザと Web サイトとの間の中間者攻撃による通信データの漏えい・改ざんを防止し，サーバ証明書によって偽サイトの見分けを容易にすることが，常時 SSL/TLS のセキュリティ上の効果です。