情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和6年度春期 午前Ⅱ 問13: HTTP Strict Transport Security（HSTS）の動作はどれか。

正解

エ. Web ブラウザは，Web サイトにアクセスすると，以降の指定された期間，当該サイトには全て HTTPS によって接続する。

正答率 75.0%（8人中 6人が正解）

問題の解説

HSTSは、サーバが応答ヘッダで指定した期間、当該サイトへのアクセスを必ずHTTPSで行うようWebブラウザに強制する仕組み。これにより平文HTTPへのダウングレードや、SSLストリッピングによる中間者攻撃を防ぐ。エが正しい。実務では初回以降のHTTP接続を自動でHTTPS化し、リダイレクト隙を突く盗聴・改ざんのリスクを低減する。プリロードでさらに強化できる。

選択肢ごとの解説

• アEV証明書有無で表示を変えるのはブラウザのUI挙動の話で、HSTSの動作ではない。
• イ秘密情報を判定できないよう圧縮するのはCRIME対策等の話で、HSTSではない。
• ウ既存セッションを使い再ハンドシェイクするのは再ネゴシエーションの説明でHSTSではない。
• エ指定期間は当該サイトへ常にHTTPSで接続させるという記述で正しい。