令和6年度 春期 情報処理安全確保支援士 午前II 問13

各選択肢の解説

ア

HTTP over TLS (HTTPS) によって接続しているとき、接続先のサーバ証明書が EV SSL 証明書である場合とない場合で, Web ブラウザのアドレス表示部分の表示を変える。

誤りです。サーバ証明書がEV SSL証明書かどうかでアドレス表示部分の表示を変えるのは、Webブラウザ側の証明書表示の機能です。HSTSはHTTPSへの接続を強制する仕組みで、証明書の種類による表示とは関係ありません。

イ

Web サーバからコンテンツをダウンロードするとき、どの文字列が秘密情報かを判定できないように圧縮する。

誤りです。圧縮後のデータ長から秘密情報を推測するBREACH攻撃などへの対策として、秘密情報を判定できないように圧縮・マスクする手法の説明です。HSTSは、コンテンツの圧縮方式を制御する仕組みではありません。

ウ

Web サーバと Web ブラウザとの間のTLS のハンドシェイクにおいて、一度確立したセッションとは別の新たなセッションを確立するとき、既に確立したセッションを使って改めてハンドシェイクを行う。

誤りです。確立済みのセッションを使って改めてハンドシェイクを行うのは、TLSの再ネゴシエーション（RFC 5746のセキュア再ネゴシエーションなど）の動作です。HSTSは、ハンドシェイクの手順を定めたものではありません。

エ

Web ブラウザは、Web サイトにアクセスすると、以降の指定された期間,当該サイトには全て HTTPS によって接続する。

正しいです。HSTS（RFC 6797）では、WebサーバがStrict-Transport-Securityヘッダでmax-ageを通知します。Webブラウザは、その指定期間中、当該サイトへhttp://でアクセスしようとしても自動的にHTTPSで接続します。これにより、ヘッダ受信後（またはプリロード登録済みの場合）のHTTPへのダウングレードやSSLストリッピングを防ぎます。