科目B対策へ戻る

WebサーバのTLS設定とHSTSの点検

オリジナル1問1答目安 7分

オリジナル問題です(IPA の問題ではありません)。AI が作成し、技術・規格の主張は一次情報で確認しています。本番とは出題の癖が違うことがあります。

確認に使った一次情報

E社は，会員向けWebサイト（www.e-cooking.example）を nginx で運用している。サブドメインも全て HTTPS で提供している。

E社は，「TLS暗号設定ガイドライン」の推奨セキュリティ型に合わせて設定を点検することにした。図1は設定ファイルの抜粋である。

図1　Webサーバの設定ファイル（抜粋）

server {
    listen 80;
    server_name www.e-cooking.example;
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    root /var/www/html;   # HTTPでもそのままコンテンツを返す
}

server {
    listen 443 ssl;
    server_name www.e-cooking.example;
    ssl_certificate     /etc/nginx/certs/server.crt;
    ssl_certificate_key /etc/nginx/certs/server.key;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
    add_header Strict-Transport-Security "max-age=0" always;
    root /var/www/html;
}

注記　server.crt には，中間認証局が発行したサーバ証明書だけを格納している。

Fさんが点検し，表1のメモを作成した。STS ヘッダーは Strict-Transport-Security ヘッダーを指す。

表1　Fさんの点検メモ

項番指摘内容
(1)ssl_protocols に TLSv1 と TLSv1.1 が含まれている。TLSv1.2 と TLSv1.3 だけにすべきである。
(2)ポート80 の応答に STS ヘッダーを付けているので，HTTP でアクセスしたブラウザにも HSTS が記憶される。したがって，HTTPS へのリダイレクトは不要である。
(3)ポート443 の応答の STS ヘッダーが max-age=0 になっている。これではブラウザは HSTS を記憶せず，記憶済みの設定も解除する。
(4)中間証明書をもたないクライアントは証明書の検証に失敗し得るので，ssl_certificate のファイルでは，サーバ証明書の後に中間認証局の証明書を連結すべきである。
(5)ポート443 の応答の STS ヘッダーに includeSubDomains がないので，www.e-cooking.example 自体にも HSTS が適用されない。

情報処理安全確保支援士（登録セキスペ）のGさんは，RFC 6797（HSTS），RFC 8446（TLS 1.3）及び同ガイドラインに照らして，点検メモをレビューした。

設問

表1の(1)〜(5)のうち，指摘内容が適切なものだけを全て挙げた組合せはどれか。解答群のうち，最も適切なものを選べ。

解答群

正解 0 / 解答 0(全1設問)

WebサーバのTLS設定とHSTSの点検 | 行政書士AI学習