令和4年度 春期 情報処理安全確保支援士試験 午前II 問14
テクノロジネットワークセキュリティ技術Web・その他のアプリケーションプロトコルWebアプリケーション・ソフトウェアの脆弱性
HTTP Strict Transport Security (HSTS)の動作はどれか。
解答・解説
正解: エ. Webサイトにアクセスすると，Webブラウザは，以降の指定された期間，当該サイトには全てHTTPSによって接続する。
HSTS（HTTP Strict Transport Security） は、WebサーバがWebブラウザに対して、現在接続しているドメインへのアクセスをHTTPではなくHTTPS（HTTP over TLS）で行うよう強制するセキュリティ機能です。これにより、中間者攻撃による通信のダウングレード（HTTPSからHTTPへの格下げ）を防ぐことができます。
具体的には、Webサーバから送信されるHTTPレスポンスヘッダに Strict-Transport-Security が含まれていると、Webブラウザはその情報を記憶し、以降指定された期間中は常にHTTPSで当該サイトにアクセスを試みるようになります。
したがって、正解はエです。
各選択肢の解説
- ア: 誤りです。EV（Extended Validation）SSL証明書を用いた際の、WebブラウザのUI動作（アドレスバーの緑色表示など）に関する説明であり、HSTSとは異なります。
- イ: 誤りです。通信データの圧縮に関する記述ですが、HSTSの動作ではありません。なお、TLSでのデータ圧縮はCRIME攻撃などの脆弱性の原因となることがあるため、現在では無効化が推奨されています。
- ウ: 誤りです。TLSのハンドシェイクにおけるセッションの再ネゴシエーション（セキュアな再ネゴシエーション）に関する説明であり、HSTSの動作ではありません。
- エ: 正しいです。HSTSの本来の動作を正確に説明しています。