平成29年度 春期 応用情報技術者試験 午前 問44

HTTPSは通信経路を暗号化しますが，Webサーバ（Webアプリケーション）やWebブラウザでは復号された内容を扱うため，そこで行う入力チェックやブラウザの設定は通常どおり機能します。HTTPSによって見えなくなるのは，途中の経路にある機器（プロキシやIDSなど）からの通信内容です。

• ア: Webアプリケーションで不正な入力をチェックできない
  誤り。Webアプリケーションは復号後の内容を受け取るので，HTTPSであっても入力チェックは可能です。

• イ: ブラウザでスクリプトを実行しない設定にしても禁止できない
  誤り。ブラウザの設定は通信がHTTPSかどうかに関係なく有効です。

• ウ: ログイン試行のチェックができない
  誤り。ログイン処理はWebアプリケーションが復号後の内容で行うので，HTTPSでもログイン試行の回数をチェックしてアカウントロックできます。

• エ: マルウェアがHTTPSを使うと通信内容をチェックできず，秘密情報が送信されてしまう
  正しい。通信が暗号化されるため，社内のプロキシサーバやIDSなどが通信内容を検査できず，秘密情報の持出しを検知・遮断できないおそれがあります。

答え

エ: 攻撃者が社内ネットワークに仕掛けたマルウェアによってHTTPSが使われると，通信内容がチェックできないので，秘密情報が社外に送信されてしまう。