情報セキュリティマネジメント 2017年 秋期 午前（科目A） 問29

サーバ認証【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文のキーワード「HTTP over TLS（HTTPS）」に注目する。
2. TLSの主な役割を思い出す：通信の暗号化、改ざん検知（整合性）、相手の認証（証明書）。
3. 各選択肢をTLSの役割と照合する。通信経路の保護に関連するものが正しい候補になる。
4. 選択肢を一つずつ除外していき、最終的にエが該当することを確認する。

選択肢別の誤答解説

• ア: Webサーバ上のファイルの改ざん検知
  • TLSは「通信経路上でのデータの改ざん」を検出・防止します。サーバ本体のファイルが勝手に書き換えられたか（サーバ内の改ざん）を検知する機能はありません。サーバ内の改ざん検知はファイル整合性監視ツール（FIM）やログ監視が必要です。
• イ: Webブラウザが動作するPC上のマルウェア検査
  • マルウェア検査は端末（PC）上のソフトウェアによるスキャンやEDR（Endpoint Detection and Response）などの機能で行います。HTTPSは通信の暗号化と認証であり、端末内部のウイルス検出は行いません。
• ウ: Webブラウザが動作するPCに対する侵入検知
  • 侵入検知（ホスト型IDSやネットワークIDS）は端末やネットワークに設置された監視システムの役割です。HTTPSは通信を保護しますが、端末への不正侵入の検出機能は持ちません。
• エ: デジタル証明書によるサーバ認証
  • TLSで使用されるデジタル証明書はサーバの公開鍵とサーバの「正当性（ドメインなど）」を結びつけます。ブラウザは証明書を検証して正しいサーバか確認するため、エが適切です。

よくある誤解

• HTTPSが入っていれば「サイトは安全」だと勘違いする。
  • HTTPSは通信の盗聴や途中改ざんを防ぎますが、サイト自体の中身が悪意あるものかや運営者が信用できるかは別問題です。例えばフィッシングサイトでもHTTPSを使うことがあります。
• HTTPSが端末のウイルスや不正アクセスを防ぐと思い込む。
  • HTTPSは通信路の保護であり、端末防御や侵入検知とは役割が異なります。
• 証明書を持っていればサーバの安全性が保証されると思う。
  • 証明書は「このドメインのサーバが所持する公開鍵はこの通りです」という証明であり、運用やソフトウェア脆弱性、内部不正などは証明しません。

補足コラム

• 証明書と認証局（CA）の関係：証明書は信頼された第三者（CA：Certificate Authority）が発行することで有効性を担保されます。ブラウザはあらかじめ信頼するCAリストを持っており、そのリストに基づいて証明書を検証します。
• 相互認証（クライアント証明書）：通常はサーバ認証のみですが、特定の用途ではクライアント側にも証明書を要求して「お互いを認証」すること（相互TLS）も可能です。
• 現場での運用イメージ：社内サーバにHTTPSを導入する際は、証明書の発行・インストールと有効期限管理（期限切れで接続エラーになる）を運用ルールに組み込みます。Let’s Encrypt のような自動化サービスを使うことも多いです。

FAQ