HTTPとHTTPSとは？

HTTPとHTTPSの意味

HTTPはWebブラウザとWebサーバがHTMLや画像をやり取りするためのプロトコルで、既定のポートは80番。HTTPSはHTTPの通信をTLSで暗号化したもので既定は443番。盗聴・改ざんを防ぎ、サーバ証明書によって接続先の正当性も確認できる。

HTTPとHTTPSの具体例

ブラウザがGETメソッドでページを要求すると、サーバはステータスコード（200は成功、404は該当なし、500はサーバ内部エラーなど）とともに内容を返す。HTTPSではこのやり取りの前にTLSの手順で鍵を共有する。

HTTPとHTTPSは試験でどう引っ掛けられる？

HTTPはやり取りごとに状態を保持しないステートレスなプロトコルで、ログイン状態の維持にはcookieやセッションIDを使う。またHTTPSは別プロトコルではなくHTTPをSSL/TLSで包んだもので、守られるのは通信経路だけ。サイトの中身が安全という保証ではなく、フィッシングサイトもHTTPSを使う。

HTTPとHTTPSと関連する用語

• ポート番号とウェルノウンポート
• FTP
• SSL/TLSと暗号化通信

HTTPとHTTPSが出た過去問

• WebSocketによって実現できるのはどれか。

  正解：クライアントのWebブラウザとサーバ間で双方向の通信をすること

  要点：WebSocketはHTTP上で確立する持続的な全二重通信

  WebSocketは、HTTPの接続を足がかりに専用のプロトコルへ切り替え、クライアントとサーバの間に持続的な全二重の通信路を確立する仕組みです。サーバ側から任意のタイミングでデータを送れるため、チャットや株価配信のようなリアルタイム用途に向きます。従来のようにクライアントから繰り返し問い合わせる必要がなく、通信量と遅延を抑えられる点が特徴です。

  出典：平成28年度 秋期 応用情報技術者試験 午前 問7（IPA）

• 他のコンピュータ上にあるデータの取出しやサービスの呼出しを行うためのプロトコルであり、メッセージがXMLで記述されたヘッダとボディで構成されているものはどれか。

  正解：SOAP

  要点：SOAPはXMLのヘッダとボディで遠隔呼出しを行う

  SOAPは、遠隔にあるコンピュータの機能を呼び出すためのメッセージ交換プロトコルで、メッセージはXMLのエンベロープの中にヘッダとボディを持つ構造で記述されます。ヘッダには認証などの付加情報、ボディには呼出しの内容や結果が入ります。HTTPなど既存のプロトコル上で運べるため、異なる環境間の連携に用いられます。

  出典：平成28年度 秋期 応用情報技術者試験 午前 問35（IPA）

• WAFの説明はどれか。

  正解：Webアプリケーションへの攻撃を監視し阻止する。

  要点：WAFはWebアプリ層への攻撃を検知し遮断する

  WAFはWebアプリケーションの前段に置き、HTTPの通信内容を検査してSQLインジェクションやクロスサイトスクリプティングなど、アプリケーション層を狙う攻撃を検知・遮断する仕組みである。ネットワーク層で通信を制御するファイアウォールでは防げない攻撃を対象とする。

  出典：平成29年度 秋期 応用情報技術者試験 午前 問45（IPA）

• 図のような構成と通信サービスのシステムにおいて，Webアプリケーションの脆弱性対策のためのWAFの設置場所として，最も適切な箇所はどこか。ここで，WAFには通信…

  正解：c

  要点：WAFはHTTPが平文になる区間に設置しないと検査できない

  WAFはHTTPリクエストの中身を解析して攻撃を検出するため、通信が平文である区間に置く必要がある。この構成ではSSLアクセラレータが復号を担っているので、その先のWebサーバとの間の平文HTTP区間に設置するのが適切である。

  出典：平成29年度 春期 応用情報技術者試験 午前 問43（IPA）

• 攻撃にHTTP over TLS（HTTPS）が使われた場合に起こり得ることはどれか。

  正解：攻撃者が社内ネットワークに仕掛けたマルウェアによってHTTPSが使われると，通信内容がチェックできないので，秘密情報が社外に送信されてしまう。

  要点：HTTPSは経路上での内容検査を妨げ情報持出しの発見を難しくする

  通信がTLSで暗号化されると、途中のファイアウォールやIDSなどでは中身を検査できない。攻撃者が仕込んだマルウェアがHTTPSで外部と通信すると、機密情報が送信されていても内容を確認できず、持ち出しを見逃してしまう。

  出典：平成29年度 春期 応用情報技術者試験 午前 問44（IPA）