HTTPS
更新日:
用語解説
HTTPSは、HTTP通信をTLSで保護する方式です。サーバ証明書を検証して接続先を認証し、通信内容の機密性と完全性を確保します。https URIの既定ポートは443です。
■ 試験で押さえるポイント
TLSハンドシェイクで対応方式を合意し、サーバが証明書と秘密鍵の所持を示します。クライアントは認証局の署名、有効期限、接続先ホスト名などを検証します。
公開鍵暗号などで安全に共有したセション鍵を使い、以後のHTTP要求・応答は効率のよい共通鍵暗号と認証タグで暗号化・改ざん検出します。
HTTPSは経路上の盗聴と改ざん、偽サーバへの中間者攻撃を証明書検証により防ぎますが、正規サイトの脆弱性、マルウェア、利用者が送信した情報の保存までは保証しません。
URLのパスやCookieなどHTTP内容はTLS内で保護されますが、接続先IPアドレスなど通信成立に必要な一部メタデータは外部から観測され得ます。
■ 選択肢での判断ポイント
HTTPにTLSを組み合わせ、機密性・完全性・サーバ認証を提供すると選びます。HTTPSならサイト内容が常に安全、匿名性も完全という説明は誤りです。
例: ブラウザがhttps://example.comへ接続し、証明書のホスト名がexample.comと一致することを確認後、生成したセション鍵でHTTPのID・パスワードを暗号化して送ります。