情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和3年度春期 午前Ⅱ 問15: HSTS（HTTP Strict Transport Security）の説明はどれか。

正解

ア. HSTS を利用する Web サイトに Web ブラウザが HTTP でアクセスした場合，Web ブラウザから当該サイトへのその後のアクセスを強制的に HTTP over TLS（HTTPS）にする。

正答率 100.0%（1人中 1人が正解）

問題の解説

HSTS(HTTP Strict Transport Security)は、サーバが応答ヘッダで指示し、以降そのサイトへのアクセスをブラウザが強制的にHTTPS(HTTP over TLS)で行うようにする仕組み。ユーザがhttp://でアクセスしても自動でhttpsに切り替わり、平文通信や中間者によるSSLストリッピングを防ぐ。これを述べたアが正解。実務ではTLS化したサイトの保護を確実にする重要なヘッダである。

選択肢ごとの解説

• ア以降のアクセスを強制的にHTTPSにしてダウングレードを防ぐ点がHSTSの説明であり、これが正解。
• イオリジン間のリソースアクセスを制限するのは同一オリジンポリシーやCORSの話で、HSTSではない。
• ウ属性によらずcookieを強制送信する仕組みではなく、cookie制御の説明としても誤りでHSTSではない。
• エ鍵マーク表示はブラウザのTLS接続表示の話で、通信をHTTPSに強制するHSTSの説明ではない。