ITパスポート 2015年 春期 問83

PCのブラウザでURLが “https://” で始まるサイトを閲覧したときの通信の暗号化【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを確認：「https://」に注目する。
2. 「https://」はHTTPSであることを思い出す。初出であれば「HTTPS = HTTP を TLS で保護したもの」と理解する。
3. TLSの基本動作を思い出す：通信開始時に鍵を決める（ハンドシェイク）→共通の暗号鍵でその後の通信を暗号化する。
4. ハンドシェイクと鍵生成の後は、PCからサーバへのデータも、サーバからPCへのデータも同じセッション鍵で暗号化されるため、双方向の暗号化が行われる。
5. よって「双方向が暗号化される」を選ぶ（ウ）。

選択肢別の誤答解説

• ア: 「PCからWebサーバへの通信だけが暗号化される。」
  誤り。HTTPS/TLSは片方向だけを守る仕組みではありません。セッションを確立すると、その後の送受信は共通の暗号鍵で暗号化されます。
• イ: 「WebサーバからPCへの通信だけが暗号化される。」
  誤り。こちらも同様に片方向のみを暗号化するという誤解です。送信と受信の両方が暗号化されます。
• ウ: 「WebサーバとPC間の双方向の通信が暗号化される。」
  正しい。HTTPS/TLSではクライアントとサーバ間の送受信が暗号化されます。したがって通信の盗聴や改ざんを防ぐ効果があります。
• エ: 「どちらの方向の通信が暗号化されるのかは、Webサーバの設定による。」
  誤り。サーバ設定でHTTPSを有効／無効にすることはあります（HTTPSを使うか否か）が、一旦TLSで接続が確立されれば、暗号化は双方向に適用されます。サーバが片方向だけ暗号化する、という仕組みは通常ありません。

よくある誤解

1. 「HTTPSは送信（フォーム入力）だけを守る」
   → 実際は送受信の両方を暗号化します。例えばページのHTMLや画像も暗号化されて届きます（ただしページ内にHTTPの画像が混在するとその部分は暗号化されないことがあります＝混在コンテンツ）。
2. 「鍵交換が終われば暗号化は不要」
   → 鍵交換（ハンドシェイク）は暗号化された通信のための準備です。ハンドシェイクでセッション鍵を作成し、その後のデータはその鍵で暗号化され続けます。
3. 「ブラウザの鍵マーク＝完全に安全」
   → 鍵マークは通信路が暗号化されていることを示しますが、表示されてもサイト自体の信頼性（詐欺サイトでないか）や端末の安全性は別問題です。

補足コラム

• TLSの仕組み（ざっくり）
  1. クライアント（ブラウザ）とサーバが「こんにちは（互いの対応する暗号方式）」を確認する。
  2. サーバは証明書（そのサイトが本物であることを示すデジタルな身分証）を提示する。証明書の発行元は信頼できる認証局（CA）です。
  3. 鍵の受け渡し（公開鍵暗号）で安全にセッション鍵を決める。
  4. 以降は高速な共通鍵（対称鍵）でデータを暗号化して送受信する。
• 注意点
  • DNS（ドメイン名の問い合わせ）やブラウザの履歴は別に保護されないことがあります（DNSは暗号化されていない場合もある）。
  • ページ内にHTTPの要素があるとそこだけ暗号化されない（混在コンテンツ）。
  • 「SSL」は古い呼び名で、現在は「TLS」が標準。日常では混同されることが多いです。

FAQ