令和6年度 春期 情報処理安全確保支援士試験 午前II 問13

【解説】

ア: HTTP over TLS（HTTPS）によって接続しているとき，接続先のサーバ証明書がEV SSL証明書である場合とない場合で，Webブラウザのアドレス表示部分の表示を変える。
誤り。HSTSの動作にはサーバ証明書の種類（例：EV SSL証明書）による表示変更は含まれません。

イ: Webサーバからコンテンツをダウンロードするとき，どの文字列が秘密情報かを判定できないように圧縮する。
誤り。HSTSは通信の暗号化を強制するものであり、データの圧縮に関する仕様はありません。

ウ: WebサーバとWebブラウザとの間のTLSのハンドシェイクにおいて，一度確立したセッションとは別の新たなセッションを確立するとき，既に確立したセッションを使って改めてハンドシェイクを行う。
誤り。これはTLSセッション再利用の説明に近いですが、HSTSの動作とは関係ありません。

エ: Webブラウザは，Webサイトにアクセスすると，以降の指定された期間，当該サイトには全てHTTPSによって接続する。
正しい。HSTS（HTTP Strict Transport Security）は、指定された期間中、ブラウザが該当サイトへの全ての接続をHTTPSに限定するように強制する仕組みです。これにより、中間者攻撃（Man-in-the-Middle Attack）のリスクを低減します。