HTTP over TLS（HTTPS）
更新日:
用語解説
HTTPSは、HTTPをTLSで保護する通信方式です。TLSハンドシェイクで暗号方式と鍵を確立し、通常はサーバ証明書を検証した後、HTTPメッセージの機密性と完全性を通信区間で保護します。
■ 試験で押さえるポイント
サーバ認証では証明書の署名連鎖、有効期間、失効、接続先ホスト名、用途を検証します。利用者が証明書警告を無視すると中間者攻撃を許し得ます。
TLSは通信経路を保護しますが、正規証明書を取得したフィッシングサイト、サーバ侵害、ブラウザ上のXSS、端末上のマルウェアを自動的には防ぎません。
TLS終端がリバースプロキシやロードバランサにある場合、終端後からバックエンドまでが平文になり得ます。保護範囲と信頼境界を確認します。
クライアント証明書を使う相互TLSではサーバもクライアントを認証できます。一般的なHTTPSが常に相互認証とは限りません。
HSTSはブラウザへHTTPS接続を強制し、HTTPへのダウングレード誘導を抑えますが、証明書検証を不要にはしません。
■ 過去問での着眼点
HTTPSが保証するのは主に通信区間の暗号化・完全性と、証明書検証による接続先認証です。鍵マークがあるだけでサイトの業務上の正当性までは保証されません。TLS終端より後の通信は別途保護範囲を確認することが重要です。
例: ブラウザはexample.jpの証明書パスとホスト名を検証してTLS鍵を確立します。LBでTLSを終端するなら、LBからWebサーバ間も必要に応じ再暗号化します。