令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問15
テクノロジ／セキュリティHSTS（HTTP Strict Transport Security）の説明はどれか。
出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問15
- アHSTS を利用する Web サイトに Web ブラウザが HTTP でアクセスした場合，Web ブラウザから当該サイトへのその後のアクセスを強制的に HTTP over TLS（HTTPS）にする。
- イHSTS を利用する Web サイトに Web ブラウザが HTTP でアクセスした場合，Web ページの文書やスクリプトについて，あるオリジンから読み込まれたリソースから他のオリジンのリソースにアクセスできないように制限する。
- ウHTTPS で通信が保護されている場合にだけ，cookie の属性によらず強制的に cookie を送信する。
- エ信頼性が高いサーバ証明書を有する Web サイトとの HTTPS 通信では，Web ブラウザに鍵マークを表示する。
正解：ア
解説
HSTS（HTTP Strict Transport Security）は，Web サーバがレスポンスヘッダで指定した期間，Web ブラウザに対して当該サイトへは常に HTTPS で接続するよう強制する仕組みです。一度 HTTP でアクセスして HSTS の指定を受け取ったブラウザは，指定期間中は以降のアクセスを自動的に HTTPS（HTTP over TLS）に切り替えるため，中間者による通信の平文化やダウングレード攻撃を防ぐ効果があります。
選択肢ごとの解説
- ア正しい。HSTS を利用する Web サイトに Web ブラウザが HTTP でアクセスした場合，その後のアクセスを強制的に HTTPS にするのが HSTS の動作です。
- イ誤り。あるオリジンから読み込まれたリソースが他のオリジンのリソースにアクセスできないようにする制限は同一オリジンポリシー（Same-Origin Policy）の説明であり，HSTS の説明ではありません。
- ウ誤り。HTTPS の場合にだけ cookie の属性によらず強制的に cookie を送信するという動作は HSTS の説明ではありません（むしろ Secure 属性の考え方に近いですが，HSTS 自体の動作ではありません）。
- エ誤り。信頼性が高いサーバ証明書（EV 証明書）の利用時にブラウザに鍵マークなどを表示する動作はブラウザの UI 表示機能であり，HSTS の動作ではありません。