HSTSとは？

HSTSの意味

サーバがレスポンスヘッダで「今後一定期間はこのドメインへHTTPSでのみ接続せよ」とブラウザに指示する仕組み。以降ブラウザはhttp://で始まるURLでも自動的にHTTPSへ切り替え、証明書エラー時の続行も禁止する。

HSTSの具体例

Strict-Transport-Security: max-age=31536000; includeSubDomains を返す。

HSTSは試験でどう引っ掛けられる？

平文HTTPへ誘導する中間者攻撃（SSLストリッピング）への対策。ただし初回アクセスは保護されないため、プリロードリストへの登録で補う。

HSTSと関連する用語

• HTTPS／TLS

HSTSが出た過去問

• Webサイトが Webブラウザに対して、指定された期間において、当該WebサイトへのアクセスをhttpsとするHTTPレスポンスヘッダフィールドはどれか。

  正解：Strict-Transport-Security

  要点：HSTSは一定期間HTTPS接続を強制させるヘッダ

  Strict-Transport-Security（HSTS）は、指定した期間そのサイトへの接続を必ずHTTPSで行うよう、Webブラウザに指示するレスポンスヘッダフィールドである。利用者がhttpで入力しても、ブラウザ側がhttpsに置き換えて接続するため、通信の盗聴や中間者による降格攻撃を防げる。

  出典：平成30年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問18（IPA）