HTTP Strict Transport Security(HSTS)の動作はどれか。

選択肢

• アHTTP over TLS(HTTPS)によって接続しているとき、接続先のサーバ証明書がEV SSL証明書である場合とない場合で、Webブラウザのアドレス表示部分の表示を変える。
• イWebサーバからコンテンツをダウンロードするとき、どの文字列が秘密情報かを判定できないように圧縮する。
• ウWebサーバとWebブラウザとの間のTLSのハンドシェイクにおいて、一度確立したセッションとは別の新たなセッションを確立するとき、既に確立したセッションを使って改めてハンドシェイクを行う。
• エWebブラウザは、Webサイトにアクセスすると、以降の指定された期間、当該サイトには全てHTTPSによって接続する。

正解と解説

正解：エ Webブラウザは、Webサイトにアクセスすると、以降の指定された期間、当該サイトには全てHTTPSによって接続する。

HSTSは、WebサーバがHTTPS応答にStrict-Transport-Securityヘッダを付けて有効期間を通知し、それを受けたブラウザがその期間中は当該サイトへの接続をすべてHTTPSに強制する仕組みである。利用者がhttpで指定したりリンクが平文を指していたりしても、ブラウザ側でHTTPSに置き換えるため、平文通信の隙を突く中間者攻撃を抑止できる。初回アクセス時の保護にはブラウザに事前登録するプリロードリストが使われる。

選択肢ごとの解説

• ア証明書の種別による表示の違いはブラウザの実装の話であり、HSTSではない。
• イ圧縮に伴う情報漏えいへの対処に関する話で、HSTSの動作ではない。
• ウセッションの再ネゴシエーションに関する説明であり、無関係である。
• エ正解。指定期間中は当該サイトへの接続をHTTPSに限定する。

同じ分野の他の問題

• クロスサイトリクエストフォージェリ攻撃の対策として,効果がないものはどれか。2025年度 秋期 午前II 問16
• クリックジャッキング攻撃に有効な対策はどれか。2022年度 秋期 午前II 問11
• WAFにおけるフォールスポジティブに該当するものはどれか。2024年度 秋期 午前II 問12
• Webサーバから送信されるHTTPヘッダーのうち、Webサーバからの応答の内容を、Webブラウザやプロキシサーバなどのキ…2024年度 春期 午前II 問20
• クロスサイトリクエストフォージェリ攻撃の対策として、効果がないものはどれか。2024年度 春期 午前II 問1