情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和元年度秋期 午前Ⅱ 問14: Web サイトにおいて，全ての Web ページを TLS で保護するよう設定する常時 SSL/TLS のセキュリティ上の効果はどれか。

正解

エ. Web ブラウザと Web サイトとの間における中間者攻撃による通信データの漏えい及び改ざんを防止し，サーバ証明書によって偽りの Web サイトの見分けを容易にする。

問題の解説

常時SSL/TLSは全ページをTLSで保護する設定で、通信全体の暗号化により中間者攻撃による盗聴・改ざんを防ぎ、サーバ証明書で接続先の正当性を確認しやすくする。よってエが正解。SQLインジェクション対策やbot判別、ブルートフォース検知はTLSの役割ではなく、別途アプリ側の対策が必要。実務ではCookie盗聴やセッション乗っ取りの抑止にも有効で、近年は標準的な実装。

選択肢ごとの解説

• アエスケープでSQLインジェクションを防ぐのはアプリ側の実装対策で、TLSの効果ではない。
• イ人間かbotかの判別はCAPTCHA等の役割で、通信を暗号化するTLSの効果ではない。
• ウブルートフォース検知やアカウントロックは認証側の対策で、TLSが担う機能ではない。
• エ中間者攻撃による盗聴・改ざんを防ぎ証明書で正当性を確認できる点が常時TLSの効果で、これが正解。