HTTPSとは？

HTTPSの意味

HTTP通信をTLSで暗号化したプロトコル。Webサイトとブラウザ間の通信内容を暗号化し、盗聴・改ざん・なりすましを防ぐ。現在ではほとんどのWebサイトで標準的に使われている。

HTTPSの具体例

ネットバンキングやオンラインショッピングのサイトでは、個人情報や決済情報を扱うため必ずHTTPSが使われ、アドレスバーに鍵マークが表示される。

HTTPSは試験でどう引っ掛けられる？

「鍵マークが出ている＝安全なサイト」ではない。HTTPSが守るのは通信経路だけで、フィッシングサイトも証明書を取得してHTTPS化できるし、サーバに保存された後のデータの安全性も保証しない。使うポート番号も80番ではなく443番。

HTTPSと関連する用語

• TLS
• ディジタル証明書

HTTPSが出た過去問

• WAFの説明はどれか。

  正解：Webアプリケーションへの攻撃を検知し、阻止する。

  要点：WAFはWebアプリ層の攻撃を通信内容から検知して遮断する

  WAF（Web Application Firewall）は、HTTP/HTTPSの通信内容を解析し、SQLインジェクションやクロスサイトスクリプティングなどWebアプリケーション層への攻撃を検知・遮断する仕組みである。パケットのヘッダだけを見る従来型ファイアウォールでは防げないアプリケーション固有の攻撃に対応する点が特徴である。

  出典：令和1年度 春期 高度共通_午前I試験 am1 問15（IPA）

• WAFによる防御が有効な攻撃として、最も適切なものはどれか。

  正解：REST APIサービスに対するAPIの脆弱性を狙った攻撃

  要点：WAFはHTTPを検査してWebアプリ層の攻撃を防ぐ

  WAF（Web Application Firewall）は、HTTP／HTTPSの通信内容を検査し、Webアプリケーション層を狙う攻撃を検出・遮断する。REST APIもHTTPで提供されるWebアプリケーションなので、その脆弱性を突く攻撃はWAFの防御対象になる。

  出典：令和4年度 秋期 高度共通_午前I試験 am1 問14（IPA）