情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和3年度春期 午前Ⅱ 問15: HSTS（HTTP Strict Transport Security）の説明はどれか。

問題本文

HSTS（HTTP Strict Transport Security）の説明はどれか。

選択肢

• ア.HSTS を利用する Web サイトに Web ブラウザが HTTP でアクセスした場合，Web ブラウザから当該サイトへのその後のアクセスを強制的に HTTP over TLS（HTTPS）にする。
• イ.HSTS を利用する Web サイトに Web ブラウザが HTTP でアクセスした場合，Web ページの文書やスクリプトについて，あるオリジンから読み込まれたリソースから他のオリジンのリソースにアクセスできないように制限する。
• ウ.HTTPS で通信が保護されている場合だけ，cookie の属性によらず強制的に cookie を送信する。
• エ.信頼性が高いサーバ証明書を有する Web サイトとの HTTPS 通信では，Web ブラウザに鍵マークを表示する。

正解

ア. HSTS を利用する Web サイトに Web ブラウザが HTTP でアクセスした場合，Web ブラウザから当該サイトへのその後のアクセスを強制的に HTTP over TLS（HTTPS）にする。

解説

HSTS(HTTP Strict Transport Security)は、サーバが応答ヘッダで指示し、以降そのサイトへのアクセスをブラウザが強制的にHTTPS(HTTP over TLS)で行うようにする仕組み。ユーザがhttp://でアクセスしても自動でhttpsに切り替わり、平文通信や中間者によるSSLストリッピングを防ぐ。これを述べたアが正解。実務ではTLS化したサイトの保護を確実にする重要なヘッダである。

選択肢ごとの解説

• ア.以降のアクセスを強制的にHTTPSにしてダウングレードを防ぐ点がHSTSの説明であり、これが正解。
• イ.オリジン間のリソースアクセスを制限するのは同一オリジンポリシーやCORSの話で、HSTSではない。
• ウ.属性によらずcookieを強制送信する仕組みではなく、cookie制御の説明としても誤りでHSTSではない。
• エ.鍵マーク表示はブラウザのTLS接続表示の話で、通信をHTTPSに強制するHSTSの説明ではない。