基本情報技術者 2025年 科目A 問08

サーバ証明書による確認【午前解説】

正解の理由

解法ステップ

1. 問題が「HTTPSだけがもつ特徴」を問うていることを確認する（「だけが」＝排他性）。
2. 各選択肢について「HTTP（平文）で可能か」「HTTPSでのみ可能か」を検討する。
3. 「サーバ証明書でのサーバ確認」はTLS固有の機能であり、HTTP単独では不可能と判定する。
4. よって排他的にHTTPSに該当する選択肢を正解とする。

選択肢別の誤答解説

• ア: cookieに保存されている情報を用いたセッション管理が可能である。
  → CookieはHTTPの仕様（Set-Cookieヘッダ）で提供される仕組みで、HTTPでもHTTPSでも使えます。したがってHTTPSだけの特徴ではありません。なお、Secure属性はHTTPSでのみブラウザが送信するが、Cookie自体はHTTPで利用可能です。
• イ: IDとパスワードによって利用者の認証を行うことが可能である。
  → HTTPでもBasic認証やフォーム認証でID/パスワードを扱えます（ただし平文送信は安全でない）。つまり「可能である」点はHTTPS専用ではありません。HTTPSは認証情報を暗号化して送れる点で安全性を高めますが、機能の可否はプロトコルに依存しません。
• ウ: Webブラウザでキャッシュさせることによって通信量を減らすことが可能である。
  → キャッシュ制御（Cache-Control等）はHTTPヘッダで定義され、HTTP/HTTPS両方で有効です。中間キャッシュの挙動はHTTPSだと制限される場合がありますが、「キャッシュして通信量を減らせる」こと自体は両者で可能です。
• エ: 通信相手先サーバをサーバ証明書によって確認することが可能である。
  → これはTLSのサーバ認証機能そのもので、HTTPSが持つ固有の特徴です。証明書の有効性、署名、ホスト名一致、信頼チェーンを検証することで相手確認が行えます。

よくある誤解

• HTTPSは「完全に安全」ではない：通信経路は暗号化されますが、サーバ側の脆弱性、ブラウザの脆弱性、ソーシャルエンジニアリングなど他のリスクは残ります。
• サーバ証明書があればそのサイトが絶対に安全：証明書は「当該ドメインに対して発行された鍵の正当性」を示すだけで、発行元CAが不正発行する可能性や鍵の盗難などのリスクはあります。
• CookieはHTTPSでしか使えない：Cookie自体はHTTPで使えますが、Secure属性を付ければHTTPS接続でのみ送信され、セキュリティが向上します。

補足コラム

• サーバ証明書の確認項目：有効期限、発行者（CA）、署名の整合性、証明書チェーン、ホスト名一致など。これらの検証によりブラウザは警告表示や接続拒否を行います。
• クライアント証明書：TLSはクライアント認証も可能で、企業向けや二要素認証の一部として使われます（ただし一般的なウェブではあまり普及していません）。
• 実運用での注意点：ロードバランサやリバースプロキシでTLS終端（TLS offload）を行うと、内部ネットワークでの通信が平文になるので設計に注意が必要です。Let's Encryptのような自動証明書発行サービスで証明書管理を簡素化できます。

FAQ