基本情報 平成26年度 秋期 問43｜テクノロジ系に関する問題

答えは c「Webサーバとブラウザの間の通信を暗号化する」 です。

HTTPSは、いつものWebの通信（HTTP）を SSL/TLS という暗号の仕組みで包んだもの。ブラウザのアドレス欄に鍵マークが出ているときがこれです。通信の途中で誰かにのぞかれても、中身（パスワードやカード番号など）が読めないようになります。接続先のサーバが本物かどうかを証明書で確かめることもできます。

👉 覚え方：HTTPSの「S」は Secure（安全）＝通信の暗号化。

ほかの選択肢：a SQLインジェクション対策はアプリの作り方の話／b・d 通信を通す・止めるを決めるのはファイアウォールの役目。

なぜこれが正解か

正解は c。HTTPS（HTTP over SSL/TLS）は、HTTPの通信をSSL/TLSで保護する仕組み。TLSが提供するのは次の3つで、いずれもブラウザとWebサーバの間の通信路を守る機能である。

• 暗号化：盗聴されても内容が読めない（機密性）
• 改ざん検知：途中で書き換えられたら分かる（完全性）
• サーバ認証：サーバ証明書で接続先が本物か確認できる（なりすまし防止）

各選択肢の解説

• a：SQLインジェクションは、正規の入力欄から悪意ある文字列を送り込む攻撃。通信が暗号化されていても攻撃の文字列はそのまま届くので、HTTPSでは防げない。対策はプレースホルダ（バインド機構）の利用など、アプリケーション側で行う。
• b：特定のポート以外の通信の遮断はファイアウォールの機能。
• c：正解。
• d：ネットワーク層でのパケットフィルタリングもファイアウォール（パケットフィルタ型）の機能。HTTPSはそれより上の層で動く。

覚え方・ひっかけ注意

「HTTPS＝通信路の保護」。通信の中身を守るのがHTTPS、通す・通さないを決めるのがファイアウォール、アプリへの攻撃を防ぐのは安全なプログラミングやWAF、と役割で切り分ける。ポート番号は HTTPS が443番、HTTP が80番。

理論的背景

TLS（Transport Layer Security）は、SSLの後継としてIETFが標準化したプロトコル。TCPの上、HTTPの下で動き、アプリケーションのデータをそのまま保護する。主な処理は次のとおり。

1. ハンドシェイク：使う暗号方式を取り決め、サーバ証明書を送り、鍵交換（現在は ECDHE などの使い捨ての鍵による交換が主流）で共通鍵のもとになる値を共有する。

2. サーバ認証：クライアントは証明書の署名を認証局（CA）の公開鍵で検証し、証明書のドメイン名と接続先が一致するかを確かめる。

3. レコード層：以降の通信を共通鍵暗号（AES-GCM、ChaCha20-Poly1305 など）で暗号化し、同時に改ざん検知も行う。

公開鍵暗号は鍵交換と認証にだけ使い、大量のデータは高速な共通鍵暗号で処理するハイブリッド方式である点が要点。TLS 1.3（2018年）では古い暗号方式が廃止され、ハンドシェイクも短縮された。SSL 3.0 や TLS 1.0/1.1 は脆弱性があるため使用が推奨されない。

実務での使われ方

• 主要なブラウザは、HTTPのページに「保護されていない通信」と表示する。証明書は無料・自動更新で取得できるサービスも普及し、全ページのHTTPS化（常時SSL/TLS）が標準になった。
• HSTS（HTTP Strict Transport Security）ヘッダで、ブラウザに以後HTTPSでのみ接続させ、HTTPへの格下げをねらう攻撃を防ぐ。
• サーバ証明書には、ドメインの管理だけを確認する DV、組織の実在も確認する OV、より厳格に審査する EV がある。
• 社内ネットワークでは、TLS通信を中継装置で復号して中身を検査する運用もある。その場合、端末にその装置の証明書を信頼させる設定が必要になる。

試験での位置づけ

「HTTPSで実現できること・できないこと」は定番。暗号化・改ざん検知・サーバ認証の3機能を押さえ、ファイアウォール・WAF・IDS/IPS との役割の違いで選択肢を切る問題が多い。応用情報・情報処理安全確保支援士では、TLSハンドシェイクの流れ、証明書チェーンの検証、前方秘匿性（Forward Secrecy）まで問われる。

選択肢の発展補足

• a：SQLインジェクションはアプリケーションの脆弱性を突く攻撃。TLSで暗号化されると、ネットワーク上の検知装置からはむしろ攻撃の中身が見えにくくなる。WAFをTLSの復号後の位置に置く、アプリでプレースホルダを使う、といった対策が必要。
• b：ポートによる通信の制限はファイアウォールの基本機能。HTTPSが443番を使うことと、443番以外を遮断することは別の話。
• d：パケットフィルタリングは、IPアドレスやポート番号などのヘッダ情報で通過の可否を決める。TLSはその上位で動くため、通信の可否を制御する機能は持たない。