令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問14
テクノロジ／セキュリティHTTP Strict Transport Security（HSTS）の動作はどれか。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問14
- アHTTP over TLS（HTTPS）によって接続しているとき，EV SSL 証明書であることを利用者が容易に識別できるように，Web ブラウザのアドレス表示部分を緑色に表示する。
- イWeb サーバからコンテンツをダウンロードするとき，どの文字列が秘密情報かを判定できないように圧縮する。
- ウWeb サーバと Web ブラウザとの間の TLS のハンドシェイクにおいて，一度確立したセッションとは別の新たなセッションを確立するとき，既に確立したセッションを使って改めてハンドシェイクを行う。
- エWeb サイトにアクセスすると，Web ブラウザは，以降の指定された期間，当該サイトには全て HTTPS によって接続する。
正解：エ
解説
HSTS（HTTP Strict Transport Security）は，Web サーバがレスポンスヘッダで指定した期間，Web ブラウザに対して当該サイトへは常に HTTPS で接続するよう強制する仕組みです。一度 HSTS の指定を受け取ったブラウザは，指定期間中は利用者が http:// で入力した場合や，明示的なリンクが http:// であった場合でも，自動的に HTTPS に変換してアクセスするようになり，通信の平文化やダウングレード攻撃を防ぎます。
選択肢ごとの解説
- ア誤り。EV SSL 証明書使用時にアドレスバーを緑色表示する挙動はブラウザの UI 表示機能であり，HSTS の動作ではありません。
- イ誤り。ダウンロードするコンテンツの秘密情報を判定できないように圧縮する動作は HSTS の動作ではありません。
- ウ誤り。既に確立したセッションを使って新たなセッションのハンドシェイクを簡略化する仕組みは TLS のセッション再開（セッションレジューム）の説明であり，HSTS の動作ではありません。
- エ正しい。Web サイトにアクセスすると，以降指定された期間はブラウザが当該サイトに全て HTTPS で接続するようにするのが HSTS の動作です。