HSTSのレスポンスヘッダー

ネットワークスペシャリスト平成30年度秋期午前Ⅱ 問18

Webサイトがブラウザに一定期間HTTPSでアクセスするよう指示するHTTPレスポンスヘッダーはどれか。

ア　Content-Security-Policy

イ　Strict-Transport-Security

ウ　X-Content-Type-Options

エ　X-XSS-Protection

正解を表示

イ

この問題に出てくる用語

HSTS: WebサイトがHTTPSでのアクセスをブラウザに強制する仕組み。HTTPSの応答ヘッダーのStrict-Transport-Securityフィールドで方針を伝え、指定した期間はHTTPのURLもHTTPSへ切り替えて接続させる。
クロスサイトスクリプティング（XSS）: Webアプリケーションが外部から受け取った値を適切に処理せずにページへ埋め込む不備を突き、攻撃者が用意したスクリプトを、そのページを表示した利用者のブラウザで実行させる攻撃である。根本的解決には、文字として表示する値へのエスケープやURLの検証などを出力先に合わせて行う。HTML入力を認める場合は、許可した要素や属性だけを残して無害化する。
ダウングレード攻撃: 暗号化通信を確立するときの交渉に割り込み、古いバージョンのプロトコルや弱い暗号スイートを使うように仕向けて、解読しやすい暗号化通信を行わせる攻撃。
中間者攻撃: 通信する2者の間に攻撃者が割り込み、両者になりすまして、通信を盗聴したり改ざんしたりする攻撃。
TLS: 通信の暗号化、改ざんの検知、通信相手の認証を行うプロトコル。HTTPSをはじめ、メールやVPNなど多くの通信の安全を支えている。