HTTPとHTTPSとは？

HTTPとHTTPSの意味

HTTPはWebブラウザとWebサーバがHTMLや画像をやり取りするためのプロトコルで、既定のポートは80番。HTTPSはHTTPの通信をTLSで暗号化したもので既定は443番。盗聴・改ざんを防ぎ、サーバ証明書によって接続先の正当性も確認できる。

HTTPとHTTPSの具体例

ブラウザがGETメソッドでページを要求すると、サーバはステータスコード（200は成功、404は該当なし、500はサーバ内部エラーなど）とともに内容を返す。HTTPSではこのやり取りの前にTLSの手順で鍵を共有する。

HTTPとHTTPSは試験でどう引っ掛けられる？

HTTPはやり取りごとに状態を保持しないステートレスなプロトコルで、ログイン状態の維持にはcookieやセッションIDを使う。またHTTPSは別プロトコルではなくHTTPをSSL/TLSで包んだもので、守られるのは通信経路だけ。サイトの中身が安全という保証ではなく、フィッシングサイトもHTTPSを使う。

HTTPとHTTPSと関連する用語

• DNS
• ポート番号とウェルノウンポート
• FTP
• SSL/TLSと暗号化通信

HTTPとHTTPSが出た過去問

• インターネットで利用される技術の標準化を図り、技術仕様をRFCとして策定している組織はどれか。

  正解：IETF

  要点：インターネット技術の仕様RFCを策定するのはIETF

  IETFはインターネットで用いられる技術の標準化を担う組織で、その成果はRFCという文書番号で公開される。TCP/IPやHTTPなど、インターネットの基盤となる仕様の多くがこの形で定められている。IEEEはLANなどの規格、ANSIは米国の標準化機関、NISTは米国の標準技術研究所であり、RFCの発行主体ではない。

  出典：令和1年度 春期 基本情報技術者試験 午前 問80（IPA）

• WAFの説明はどれか。

  正解：Webサイトに対するアクセス内容を監視し，攻撃とみなされるパターンを検知したときに当該アクセスを遮断する。

  要点：WAFはHTTPの内容を検査してWeb攻撃を遮断する

  WAF（Web Application Firewall）は、Webアプリケーションへの通信内容を検査し、SQLインジェクションやクロスサイトスクリプティングなど攻撃と判断されるパターンを含むアクセスを遮断する仕組みである。通常のファイアウォールがポート単位で制御するのに対し、HTTPの中身まで見る点が特徴である。

  出典：平成28年度 秋期 基本情報技術者試験 午前 問42（IPA）

• PCへの侵入に成功したマルウェアがインターネット上の指令サーバと通信を行う場合に，宛先ポートとしてTCPポート番号80が多く使用される理由はどれか。

  正解：Webサイトの閲覧に使用されることから，通信がファイアウォールで許可されている可能性が高い。

  要点：80番は業務上許可されがちで、外部へ抜ける通り道になる

  TCPの80番はHTTPすなわち通常のWeb閲覧に使われるポートであり、業務上必要なため多くの組織でファイアウォールの外向き通信が許可されている。マルウェアがこのポートを使えば、追加の設定変更なしに外部の指令サーバへ到達でき、通常の閲覧に紛れ込ませることもできる。閉じられていないポートを選ぶという発想である。

  出典：平成28年度 秋期 基本情報技術者試験 午前 問45（IPA）

• PCとWebサーバがHTTPで通信している。PCからWebサーバ宛てのパケットでは，送信元ポート番号はPC側で割り当てた50001，宛先ポート番号は80であった…

  正解：送信元（Webサーバ）のポート番号80，宛先（PC）のポート番号50001

  要点：戻りパケットは送信元と宛先のポートが入れ替わるだけ

  TCPの通信では、戻りのパケットは送信元と宛先を入れ替えた形になる。行きが「送信元50001・宛先80」だったのだから、戻りは「送信元80・宛先50001」となる。サーバ側が応答のたびに新しいポートを割り当てるわけではない点が要点である。

  出典：平成28年度 春期 基本情報技術者試験 午前 問35（IPA）

• クライアントとWebサーバの間において，クライアントからWebサーバに送信されたデータを検査して，SQLインジェクションなどの攻撃を遮断するためのものはどれか。

  正解：WAF

  要点：WAFはHTTPの中身を検査してWeb攻撃を遮断する

  WAF（Web Application Firewall）は、HTTPの通信内容そのものを検査し、攻撃に典型的なパターンを含むリクエストを遮断する。パケットヘッダしか見ない従来型ファイアウォールでは防げない、SQLインジェクションやクロスサイトスクリプティングへの対策として位置付けられる。アプリケーション改修が難しい場合の緩和策としても使われる。

  出典：平成28年度 春期 基本情報技術者試験 午前 問43（IPA）