令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問15
テクノロジセキュリティ技術ネットワークWebアプリケーション・ソフトウェアの脆弱性Web・その他のアプリケーションプロトコル
HSTS（HTTP Strict Transport Security）の説明はどれか。
解答・解説
正解: ア. HSTSを利用するWebサイトにWebブラウザがHTTPでアクセスした場合，Webブラウザから当該サイトへのその後のアクセスを強制的にHTTP over TLS（HTTPS）にする。
HSTS（HTTP Strict Transport Security） は、WebサーバがWebブラウザに対して、現在接続しているドメインへの以降のアクセスを強制的に HTTPS（HTTP over TLS） で行うように指示するセキュリティ機構です。
これにより、HTTP接続を傍受して暗号化されていない通信を強制する中間者攻撃（ダウングレード攻撃など）を防止できます。
各選択肢の解説
- ア: 正解です。HSTSの設定を受け取ったWebブラウザは、そのWebサイトへの以降のアクセスを強制的に HTTPS で行います。
- イ: 誤りです。あるオリジンから読み込まれたリソースが、他のオリジンのリソースにアクセスできないように制限するのは、同一オリジンポリシー（Same-Origin Policy） の説明です。
- ウ: 誤りです。HTTPSで通信が保護されている場合にのみcookieを送信するように制限するのは、cookieの Secure属性 の説明です（本選択肢の「cookieの属性によらず」という記述は不適切です）。
- エ: 誤りです。信頼性が高いサーバ証明書（EV SSL/TLS証明書など）を用いた通信において、Webブラウザに鍵マークや組織名を表示する機能に関する説明であり、HSTSの機能ではありません。