中間者攻撃とは？ちゅうかんしゃこうげき
中間者攻撃とは、通信の経路上に割り込み、双方に対してそれぞれの相手になりすまして通信を中継し、内容の盗聴や改ざんを行う攻撃。両端は正常に通信できているように見えるため、通信が成立していること自体は被害を否定する根拠にならない。鍵交換の途中に割り込まれれば、暗号化していても平文を読まれる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
暗号化は「盗み見られても読めない」を作るが、「相手が本人か」までは保証しない。鍵交換だけを行うディフィー・ヘルマンが、そのままでは経路上の割り込みに弱いことは早くから知られており、公開鍵に第三者の署名を付けて本人性を担保するPKIが必要になった。支援士では、証明書検証を省いた設計がなぜ危険かを説明させる形で問われる。
具体例
公衆無線LANで正規のSSIDと同じ名前のアクセスポイントを立てられると、接続した端末の通信は攻撃者を経由する。ブラウザがサーバ証明書の名前と発行元を検証し、一致しなければ警告を出すのは、この経路上の割り込みを検知するための仕組みである。
試験での引っ掛け
「暗号化していれば安全」は誤りで、証明書の検証まで行って初めて防げる。証明書エラーを利用者が例外承認できる状態は、この防御を無効化する。ブラウザ内のマルウェアが表示と入力を書き換えるMITB攻撃は経路上ではなく端末内で起きるため、TLSでは防げない別物である。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12（IPA）解説で登場
HTTP Strict Transport Security(HSTS)の動作はどれか。
正解：Webサイトにアクセスすると,Webブラウザは,以降の指定された期間,当該サイトには全てHTTPSによって接続する。
要点：HSTSは以後の接続を必ずHTTPSに強制する
HSTSは、Webサーバが応答ヘッダで指定した期間、そのサイトへの接続を必ずHTTPSで行うようブラウザに指示する仕組みです。利用者が誤ってhttpで入力しても自動的にHTTPSへ切り替わるため、通信の平文化を狙う中間者攻撃を防げます。
出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問10（IPA）解説で登場
BlueBorneの説明はどれか。
正解：Bluetoothを悪用してデバイスを不正に操作したり、情報を窃取したりする、複数の脆弱性の呼称
要点：BlueBorneはBluetoothに潜む複数脆弱性の総称
BlueBorneは、Bluetoothの実装に見つかった複数の脆弱性の総称である。ペアリングを行わなくても、Bluetoothが有効になっているだけで近距離から攻撃が成立し得る点が特徴で、端末の乗っ取りや情報の窃取、中間者攻撃に悪用される恐れがあった。
出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問14（IPA）
Webサイトにおいて、全てのWebページをTLSで保護するよう設定する常時SSL/TLSのセキュリティ上の効果はどれか。
正解：WebブラウザとWebサイトとの間における中間者攻撃による通信データの漏えい及び改ざんを防止し、サーバ証明書によって偽りのWebサイトの見分けを容易にする。
要点：常時TLSは中間者攻撃を防ぎ、証明書で真正性を示す
常時SSL/TLSは、ログイン画面や決済画面だけでなくサイト全体をTLSで保護する運用である。通信全体が暗号化・完全性保護されるため、中間者攻撃による盗聴や改ざん、平文ページへのセッションIDの露出やコンテンツ書換えを防げる。加えて、サーバ証明書によって接続先が正当なサイトかどうかを利用者が確認しやすくなる。
出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問15（IPA）解説で登場
HSTS(HTTP Strict Transport Security)の説明はどれか。
正解：HSTSを利用するWebサイトにWebブラウザがHTTPでアクセスした場合,Webブラウザから当該サイトへのその後のアクセスを強制的にHTTP over TLS(HTTPS)にする。
要点：HSTSはブラウザに以降のHTTPS接続を強制させる
HSTSは、WebサーバがHTTPレスポンスヘッダでHTTPSの利用を宣言し、ブラウザに一定期間そのサイトへは必ずHTTPSで接続させる仕組みである。平文のHTTPで始まる最初のアクセスを狙う中間者攻撃（SSLストリッピング）を防ぐことを目的とする。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問14（IPA）解説で登場
HTTP Strict Transport Security (HSTS) の動作はどれか。
正解：Webサイトにアクセスすると、Webブラウザは、以降の指定された期間、当該サイトには全てHTTPSによって接続する。
要点：HSTSは指定期間中の接続をHTTPSに強制させるヘッダ
HSTSは、WebサーバがHTTPSの応答にStrict-Transport-Securityヘッダを付けて有効期間を通知する仕組みである。これを受け取ったブラウザは、その期間中は当該サイトへの接続をすべてHTTPSに強制し、利用者がhttpで指定しても実際の平文通信を行わない。初回アクセス前に平文でやり取りされる隙を突く中間者攻撃（SSLストリッピング）を抑止できる。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。