応用情報技術者試験 応用情報技術者試験 平成29年度春期 午前 問44: 攻撃に HTTP over TLS（HTTPS）が使われた場合に起こり得ることはどれか。

正解

エ. 攻撃者が社内ネットワークに仕掛けたマルウェアによって HTTPS が使われると，通信内容がチェックできないので，秘密情報が社外に送信されてしまう。

正答率 42.2%（287人中 121人が正解）

問題の解説

HTTPS は通信を暗号化するので、攻撃に使われると、途中のファイアウォールや IDS などの機器は通信の内容を検査できない。マルウェアが HTTPS で秘密情報を社外へ送信しても、検出や遮断が難しい。一方、入力のチェックやログイン試行の制限などは Web アプリケーション側で行うので、HTTPS でも実施できる。

選択肢ごとの解説

• アデータベースへの入力チェックは、復号された後のデータを受け取る Web アプリケーション側で行う。HTTPS を使われてもチェックできる。
• イスクリプトの実行を禁止する設定は、ブラウザの機能であり、通信が HTTPS かどうかに関係なく有効である。
• ウログイン試行のチェックやアカウントロックは Web アプリケーション側で行うので、HTTPS を使われても実行できる。
• エ正しい。マルウェアが HTTPS で通信すると暗号化されているため、境界の機器では内容を検査できず、秘密情報の外部への送信を見逃してしまう。