HTTP Strict Transport Security (HSTS) の動作はどれか。

選択肢

• アHTTP over TLS (HTTPS) によって接続しているとき、EV SSL証明書であることを利用者が容易に識別できるように、Webブラウザのアドレス表示部分を緑色に表示する。
• イWebサーバからコンテンツをダウンロードするとき、どの文字列が秘密情報かを判定できないように圧縮する。
• ウWebサーバとWebブラウザとの間のTLSのハンドシェイクにおいて、一度確立したセッションとは別の新たなセッションを確立するとき、既に確立したセッションを使って改めてハンドシェイクを行う。
• エWebサイトにアクセスすると、Webブラウザは、以降の指定された期間、当該サイトには全てHTTPSによって接続する。

正解と解説

正解：エ Webサイトにアクセスすると、Webブラウザは、以降の指定された期間、当該サイトには全てHTTPSによって接続する。

HSTSは、WebサーバがHTTPSの応答にStrict-Transport-Securityヘッダを付けて有効期間を通知する仕組みである。これを受け取ったブラウザは、その期間中は当該サイトへの接続をすべてHTTPSに強制し、利用者がhttpで指定しても実際の平文通信を行わない。初回アクセス前に平文でやり取りされる隙を突く中間者攻撃（SSLストリッピング）を抑止できる。

選択肢ごとの解説

• ア証明書の種別に応じたアドレスバーの表示はブラウザ独自の挙動で、HSTSの動作ではない。
• イ圧縮に伴う情報漏えい（CRIMEなど）に関する話であり、HSTSとは無関係。
• ウセッション再ネゴシエーションの説明であり、HSTSの動作ではない。
• エ正解。指定期間中は当該サイトへの接続をHTTPSに限定するようブラウザへ指示する。

この問題に出た用語

• 中間者攻撃
• TLS
• HSTS

同じ分野の他の問題

• クロスサイトリクエストフォージェリ攻撃の対策として,効果がないものはどれか。2025年度 秋期 午前Ⅱ 問16
• クリックジャッキング攻撃に有効な対策はどれか。2022年度 秋期 午前Ⅱ 問11
• WAFにおけるフォールスポジティブに該当するものはどれか。2024年度 秋期 午前Ⅱ 問12
• Webサーバから送信されるHTTPヘッダーのうち、Webサーバからの応答の内容を、Webブラウザやプロキシサーバなどのキ…2024年度 春期 午前Ⅱ 問20
• HTTP Strict Transport Security(HSTS)の動作はどれか。2024年度 春期 午前Ⅱ 問13