TLSハンドシェイクとHTTPSとは？

TLSハンドシェイクとHTTPSの意味

TLSはトランスポート層の上で暗号化・認証・改ざん検知を提供するプロトコル。ハンドシェイクでは暗号スイートの合意、サーバ証明書による相手認証、鍵交換を経て共通鍵を確立し、以降は共通鍵で本文を暗号化する。HTTPSはHTTPをTLSで包んだもの。

TLSハンドシェイクとHTTPSの具体例

ブラウザが銀行サイトへ接続すると、サーバ証明書の発行者を認証局の連鎖でたどり、ドメイン名の一致と有効期限を確認する。合意後はAESなどの共通鍵で通信し、TLS1.3では往復回数が削減されて初回接続が1RTTで済むため、応答時間が改善する。

TLSハンドシェイクとHTTPSは試験でどう引っ掛けられる？

公開鍵暗号は鍵交換と署名にしか使わず、本文は共通鍵で暗号化する（ハイブリッド方式）点を逆に覚えやすい。またHTTPSは経路の保護であってサーバ内部やアプリの脆弱性は守らない。証明書はサイトの正当性ではなくドメインの管理者を証明する。

TLSハンドシェイクとHTTPSと関連する用語

• ハイブリッド暗号方式
• PKI（公開鍵基盤）
• ポート番号とウェルノウンポート

TLSハンドシェイクとHTTPSが出た過去問

• 攻撃にHTTP over TLS（HTTPS）が使われた場合に起こり得ることはどれか。

  正解：攻撃者が社内ネットワークに仕掛けたマルウェアによってHTTPSが使われると，通信内容がチェックできないので，秘密情報が社外に送信されてしまう。

  要点：HTTPSは経路上での内容検査を妨げ情報持出しの発見を難しくする

  通信がTLSで暗号化されると、途中のファイアウォールやIDSなどでは中身を検査できない。攻撃者が仕込んだマルウェアがHTTPSで外部と通信すると、機密情報が送信されていても内容を確認できず、持ち出しを見逃してしまう。

  出典：平成29年度 春期 応用情報技術者試験 午前 問44（IPA）

• WAFによる防御が有効な攻撃として、最も適切なものはどれか。

  正解：REST APIサービスに対するAPIの脆弱性を狙った攻撃

  要点：WAFはHTTP通信を検査しWebアプリ層の攻撃を防ぐ

  WAF（Web Application Firewall）は、HTTP/HTTPSの通信内容を検査してWebアプリケーション層の攻撃を遮断する仕組みです。REST APIもHTTP上で提供されるWebアプリケーションなので、不正なパラメータを使った攻撃の検知・防御に有効です。

  出典：令和4年度 秋期 応用情報技術者試験 午前 問42（IPA）

• WAFによる防御が有効な攻撃として、最も適切なものはどれか。

  正解：REST APIサービスに対するAPIの脆弱性を狙った攻撃

  要点：WAFはHTTP通信を検査するのでWeb・APIへの攻撃に有効

  WAF（Web Application Firewall）は、HTTP/HTTPSの通信内容を解析してアプリケーション層の攻撃を検知・遮断する仕組みである。SQLインジェクションやクロスサイトスクリプティングのほか、HTTPで提供されるREST APIの脆弱性を突く攻撃も防御対象になる。ネットワーク層の攻撃やHTTP以外のプロトコルへの攻撃は守備範囲外である。

  出典：令和6年度 春期 応用情報技術者試験 午前 問41（IPA）

• cookieにSecure属性を設定しなかったときと比較した，設定したときのWebブラウザの動作として，適切なものはどれか。

  正解：URL内のスキームがhttpsのときだけ，Webブラウザからcookieが送出される。

  要点：Secure属性はcookieの送信をHTTPS通信のときだけに限定する

  cookieのSecure属性は、そのcookieをHTTPS通信のときだけ送信させる指定である。暗号化されていないHTTP通信では送出されなくなるため、盗聴によってセッションIDなどを奪われる危険を減らせる。属性を付けない場合はスキームに関係なく送信されてしまう。

  出典：令和7年度 春期 応用情報技術者試験 午前 問41（IPA）