HTTP Strict Transport Security(HSTS)の動作はどれか。

選択肢

• アHTTP over TLS(HTTPS)によって接続しているとき,EV SSL証明書であることを利用者が容易に識別できるように,Webブラウザのアドレス表示部分を緑色に表示する。
• イWebサーバからコンテンツをダウンロードするとき,どの文字列が秘密情報かを判定できないように圧縮する。
• ウWebサーバとWebブラウザとの間のTLSのハンドシェイクにおいて,一度確立したセッションとは別の新たなセッションを確立するとき,既に確立したセッションを使って改めてハンドシェイクを行う。
• エWebサイトにアクセスすると,Webブラウザは,以降の指定された期間,当該サイトには全てHTTPSによって接続する。

正解と解説

正解：エ Webサイトにアクセスすると,Webブラウザは,以降の指定された期間,当該サイトには全てHTTPSによって接続する。

HSTSは、Webサーバが応答ヘッダで指定した期間、そのサイトへの接続を必ずHTTPSで行うようブラウザに指示する仕組みです。利用者が誤ってhttpで入力しても自動的にHTTPSへ切り替わるため、通信の平文化を狙う中間者攻撃を防げます。

選択肢ごとの解説

• ア誤り。アドレスバーの色による表示はEV証明書に関する挙動。
• イ誤り。圧縮の仕方に関する話であり、HSTSの動作ではない。
• ウ誤り。既存セッションを使ったハンドシェイクは再ネゴシエーションの説明。
• エ正しい。指定期間中は必ずHTTPSで接続させ、平文接続を防ぐ。

同じ分野の他の問題

• クロスサイトリクエストフォージェリ攻撃の対策として,効果がないものはどれか。2025年度 秋期 午前II 問16
• クリックジャッキング攻撃に有効な対策はどれか。2022年度 秋期 午前II 問11
• WAFにおけるフォールスポジティブに該当するものはどれか。2024年度 秋期 午前II 問12
• Webサーバから送信されるHTTPヘッダーのうち、Webサーバからの応答の内容を、Webブラウザやプロキシサーバなどのキ…2024年度 春期 午前II 問20
• HTTP Strict Transport Security(HSTS)の動作はどれか。2024年度 春期 午前II 問13