情報処理安全確保支援士 2022年 春期 午前2 問14

HSTSの動作【午前2解説】

正解の理由

• 初回アクセスが既にHTTPSでヘッダを受け取ること、または
• ドメインがブラウザのプリロードリストに登録されていて初回からHTTPSに誘導されること のいずれかが必要です（プリロードは別途登録手続きが必要）。

解法ステップ

1. 問題文から「HSTS」がテーマであると特定する。HSTSはセキュリティ関連のHTTPヘッダであることを思い出す。
2. 各選択肢を「HSTSの機能か？」で評価する：
   • HSTSは表示色やEV表示、コンテンツ圧縮、TLSセッション管理を行わない点を確認する。
3. HSTSの動作（ブラウザ側の接続強制）に一致する選択肢を選ぶ。
4. 余力があれば「初回アクセスの挙動」「プリロード」「includeSubDomains」などの例外条件を思い出す。

選択肢別の誤答解説

• ア: EV証明書の表示（緑色のバーなど）はブラウザ固有のUI仕様であり、HSTSとは無関係です。HSTSは接続方式の強制（HTTPS限定）を行うもので、証明書の表示装飾は含みません。
• イ: コンテンツの圧縮により「どの文字列が秘密情報か判定できないようにする」という表現は意味的に不適当です。圧縮はサイズ削減や転送効率のためであり、秘密情報の判別防止のための手段ではなく、またこれはHSTSの機能ではありません。
• ウ: TLSのハンドシェイクやセッション確立・再利用（セッション再開、セッションチケット等）はTLSプロトコルの内部仕様です。HSTSは通信の暗号化の有無（HTTPSを使うかどうか）をブラウザに指示するもので、TLSセッション管理を指示する仕組みではありません。
• エ: Webサイトにアクセスするとブラウザは以降の指定期間そのサイトへは全てHTTPSで接続する、という点がHSTSの役割に合致します（ただし初回で平文HTTPのみの場合やプリロードに関する前述の例外に注意）。

よくある誤解

1. HSTSが初回アクセスのHTTP→HTTPS自動切替を保障すると思い込む
   • 実際はブラウザは平文HTTPで受け取った Strict-Transport-Security を信頼しないため、初回がHTTPで攻撃者に改ざんされ得る状況ではHSTSは効かない。初回を確実にHTTPSにするにはサーバ側がプリロードリストに登録するか、外部手段で初回をHTTPSに誘導する必要があります。
2. HSTSが証明書の有効性やEV表示を担保すると思い込む
   • HSTSは接続方式（HTTPSの使用）を強制するのみで、証明書の妥当性チェックや表示ルールは別（TLS/ブラウザの証明書検証やUI）です。
3. HSTSが自動的にサブドメインを保護すると誤解する
   • サブドメイン保護は includeSubDomains 指定が必要。指定しない場合は当該ホスト名のみが対象。

補足コラム

• ヘッダの例（HTTPSレスポンス内で返す）:

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

• max-age=31536000 は1年間（秒）を意味します。includeSubDomains を付けるとサブドメインにも適用されます。preload はプリロード申請のための指示で、実際にプリロードされるにはブラウザベンダのリストに登録する必要があります。
• プリロード（HSTS preload）
  • ドメイン所有者が https://hstspreload.org などを通じて登録申請を行い、承認されると主要ブラウザのビルトインリストに追加され、初回アクセスからHTTPSに限定されます。これにより「初回HTTP攻撃」のリスクを低減できます。
• HSTSとリダイレクトの違い
  • サーバがHTTPでアクセスされた際に301/302でHTTPSへリダイレクトする手法は有効だが、MITM による中間改ざんのリスクがある。HSTSはブラウザ側に再接続ポリシーを保存するため、より強い保護を提供する（ただし初回の問題は前述の通り）。

FAQ