令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問13
テクノロジ／セキュリティHTTP Strict Transport Security (HSTS) の動作はどれか。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問13
- アHTTP over TLS (HTTPS) によって接続しているとき，接続先のサーバ証明書が EV SSL 証明書である場合とない場合で，Web ブラウザのアドレス表示部分の表示を変える。
- イWeb サーバからコンテンツをダウンロードするとき，どの文字列が秘密情報か判定できないように圧縮する。
- ウWeb サーバと Web ブラウザとの間の TLS のハンドシェイクにおいて，一度確立したセッションとは別の新たなセッションを確立するとき，既に確立したセッションを使って改めてハンドシェイクを行う。
- エWeb ブラウザは，Web サイトにアクセスすると，以降の指定された期間，当該サイトには全て HTTPS によって接続する。
正解：エ
解説
HSTS（HTTP Strict Transport Security）は，Web サーバがレスポンスヘッダーで指定した期間，以降そのサイトへのアクセスを常に HTTPS で行うよう Web ブラウザに指示する仕組みです。これにより，利用者が誤って HTTP でアクセスしようとした場合でも自動的に HTTPS に切り替えられ，通信の盗聴や中間者攻撃によるダウングレード攻撃を防止できます。
選択肢ごとの解説
- ア誤り。EV SSL 証明書の有無によってアドレス表示部分の表示を変える機能は，Web ブラウザの証明書表示機能の説明であり，HSTS の動作ではありません。
- イ誤り。秘密情報かどうかを判定できないように圧縮する機能の説明であり，HSTS の動作ではありません。
- ウ誤り。TLS セッションを再利用してハンドシェイクを簡略化する機能はセッション再開（セッションレジューム）の説明であり，HSTS の動作ではありません。
- エ正しい。Web ブラウザは，Web サイトにアクセスすると，以降の指定された期間，当該サイトには全て HTTPS によって接続するのが HSTS の動作です。