ITパスポート 2018年 秋期 問71

HTTPSで接続したWebサーバとブラウザ間の暗号化通信に利用されるプロトコルはどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文から「HTTPSで接続したWebサーバとブラウザ間の暗号化通信」を問うていると把握する。ポイントは「暗号化通信」を行うプロトコルを選ぶこと。
2. 各選択肢の意味を確認する。
   • SEO：検索エンジン最適化（暗号化とは無関係）
   • SPEC：一般には「仕様（specification）」やベンチマーク名（暗号化プロトコルではない）
   • SQL：データベース操作言語（暗号化通信のプロトコルではない）
   • SSL/TLS：通信の暗号化・認証を行うプロトコル（該当）
3. 暗号化通信を行うものは SSL/TLS であるため、正解は エ と判断する。

選択肢別の誤答解説

• ア: SEO
  SEO（Search Engine Optimization：検索エンジン最適化）は、Webサイトを検索結果で上位表示させるための対策や手法のことです。通信の暗号化やプロトコルとは関係ありません。
• イ: SPEC
  SPEC は一般的に「仕様（spec）」を意味したり、性能評価のベンチマーク団体名（SPEC）を指します。暗号化通信プロトコルではありません。
• ウ: SQL
  SQL（Structured Query Language：構造化問合せ言語）はデータベースに対する命令文です。データの検索や更新に使いますが、Webブラウザとサーバ間の暗号化を担うものではありません。
• エ: SSL/TLS
  SSL/TLS は通信を暗号化し、相手の正当性を確認する役割を持ちます。HTTPSはこのプロトコルを下敷きにして安全なHTTP通信を実現するため、正しい選択です。

よくある誤解

1. 「SSLとTLSは別物でどちらか選ぶ必要がある」
   → 実務や試験では「SSL/TLS」と表現されることが多く、TLSが現在の標準です。歴史的にSSLがあり、改良版がTLSと思って差し支えありません。問題では両方まとめて示した選択肢が正解です。
2. 「HTTPSなら全て安心（完全に安全）」
   → HTTPSは通信の盗聴や改ざんを防ぎますが、サイト自体が悪意あるもの（フィッシング詐欺など）であれば被害を受けます。暗号化は「通信の安全性」を高める手段であり、総合的な安全対策の一部です。

補足コラム

• 簡単なSSL/TLSの流れ（ハンドシェイクのイメージ）
  1. ブラウザがサーバに接続要求を送る。
  2. サーバは自分の証明書（公開鍵とサーバ情報を証明するデジタル署名つき）を返す。
  3. ブラウザは証明書を発行した「認証局（CA：Certificate Authority）」を検証し、正しければサーバの公開鍵で安全に鍵交換を行う。
  4. 以降は共通鍵（対称鍵）で効率よく暗号化通信を行う。
     この一連を「ハンドシェイク」と呼びます。ポイントは「公開鍵暗号（のぞき見を防ぐ鍵交換）」と「対称鍵暗号（実際の通信の暗号化）」を組み合わせている点です。
• 証明書とCA（認証局）について
  証明書は「このサーバは本当にそのドメインの所有者です」ということを証明するデータで、CAという信頼された組織が署名しています。ブラウザはあらかじめ信頼できるCAのリストを持っています。
• バージョンと安全性
  SSLの古いバージョン（SSLv2/v3）は脆弱（セキュリティ上の弱点）なため、現在はTLS 1.2やTLS 1.3が使われます。実務ではTLSの最新バージョンを使うことが推奨されます。

FAQ