HSTSとは？

HSTSの意味

サーバが応答ヘッダで指定することにより、ブラウザに対し以後一定期間そのドメインへの接続を必ずHTTPSで行わせる仕組み。初回のHTTPアクセスを狙ったSSLストリッピングを防ぐ。

HSTSの具体例

会員サイトで、公衆無線LANの利用者がhttp://から入り認証情報を中継者に盗まれる恐れがあった。全ページをHTTPS化したうえでmax-ageを1年としたHSTSを付与し、preload登録で初回アクセスも保護した。証明書が失効すると閲覧不能になる点は監視で担保した。

HSTSは試験でどう引っ掛けられる？

期間（max-age）が有効な間はブラウザ側が内部でHTTPSへ書き換えるため、証明書エラー時に利用者が例外承認して進むこともできなくなる。

HSTSと関連する用語

• TLS
• ダウングレード攻撃
• HTTPセキュリティヘッダ

HSTSが出た過去問

• HTTP Strict Transport Security(HSTS)の動作はどれか。

  正解：Webサイトにアクセスすると,Webブラウザは,以降の指定された期間,当該サイトには全てHTTPSによって接続する。

  要点：HSTSは以後の接続を必ずHTTPSに強制する

  HSTSは、Webサーバが応答ヘッダで指定した期間、そのサイトへの接続を必ずHTTPSで行うようブラウザに指示する仕組みです。利用者が誤ってhttpで入力しても自動的にHTTPSへ切り替わるため、通信の平文化を狙う中間者攻撃を防げます。

  出典：平成30年度 秋期 情報処理安全確保支援士試験 am2 問12（IPA）

• HSTS(HTTP Strict Transport Security)の説明はどれか。

  正解：HSTSを利用するWebサイトにWebブラウザがHTTPでアクセスした場合,Webブラウザから当該サイトへのその後のアクセスを強制的にHTTP over TLS(HTTPS)にする。

  要点：HSTSはブラウザに以降のHTTPS接続を強制させる

  HSTSは、WebサーバがHTTPレスポンスヘッダでHTTPSの利用を宣言し、ブラウザに一定期間そのサイトへは必ずHTTPSで接続させる仕組みである。平文のHTTPで始まる最初のアクセスを狙う中間者攻撃（SSLストリッピング）を防ぐことを目的とする。

  出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問15（IPA）

• HTTP Strict Transport Security (HSTS) の動作はどれか。

  正解：Webサイトにアクセスすると、Webブラウザは、以降の指定された期間、当該サイトには全てHTTPSによって接続する。

  要点：HSTSは指定期間中の接続をHTTPSに強制させるヘッダ

  HSTSは、WebサーバがHTTPSの応答にStrict-Transport-Securityヘッダを付けて有効期間を通知する仕組みである。これを受け取ったブラウザは、その期間中は当該サイトへの接続をすべてHTTPSに強制し、利用者がhttpで指定しても実際の平文通信を行わない。初回アクセス前に平文でやり取りされる隙を突く中間者攻撃（SSLストリッピング）を抑止できる。

  出典：令和4年度 春期 情報処理安全確保支援士試験 am2 問14（IPA）

• HTTP Strict Transport Security(HSTS)の動作はどれか。

  正解：Webブラウザは、Webサイトにアクセスすると、以降の指定された期間、当該サイトには全てHTTPSによって接続する。

  要点：HSTSはブラウザに一定期間HTTPS接続を強制させる

  HSTSは、WebサーバがHTTPS応答にStrict-Transport-Securityヘッダを付けて有効期間を通知し、それを受けたブラウザがその期間中は当該サイトへの接続をすべてHTTPSに強制する仕組みである。利用者がhttpで指定したりリンクが平文を指していたりしても、ブラウザ側でHTTPSに置き換えるため、平文通信の隙を突く中間者攻撃を抑止できる。初回アクセス時の保護にはブラウザに事前登録するプリロードリストが使われる。

  出典：令和6年度 春期 情報処理安全確保支援士試験 am2 問13（IPA）