平成30年度 秋期 午前Ⅱ 問12

✓ これが正解エWeb サイトにアクセスすると，Web ブラウザは，以降の指定された期間，当該サイトには全て HTTPS によって接続する。

解説

HSTS は指定期間、ブラウザにそのサイトへ HTTPS だけで接続させます。

HSTS は、Web サーバが応答のヘッダで、今後はこのサイトに HTTPS で接続するよう Web ブラウザに伝える仕組みです。ヘッダには有効期間も含まれており、ブラウザはその期間中、利用者が http で始まる URL を入力したりリンクをたどったりしても、自動的に HTTPS で接続します。暗号化されていない HTTP の通信が一度でも発生すると、その通信を中間者に横取りされるおそれがあります。HSTS はその機会をなくすための仕組みです。見分ける軸は、接続方法を HTTPS に固定する動作かどうかです。

ほかの選択肢はなぜ違うのか

• アHTTP over TLS（HTTPS）…：EV SSL 証明書のサイトでアドレス表示部分を緑色にするのは、かつて Web ブラウザ側が行っていた表示の工夫です。サーバが今後の接続方法をブラウザに指定する仕組みではありません。
• イWeb サーバからコンテンツをダウンロー…：どの文字列が秘密情報か判定できないように圧縮を工夫するのは、圧縮後のデータの長さから秘密情報を推測する攻撃への対策の話です。HSTS の動作とは関係がありません。
• ウWeb サーバと Web ブラウザとの間…：確立済みのセッションを使って改めてハンドシェイクを行うのは、TLS のセッションの条件を結び直すときの手順の説明です。HTTP での接続を防ぐ仕組みとは別の話です。