解説

HSTS（HTTP Strict Transport Security）はWebサーバが「このサイトへのアクセスは今後、指定期間中は全てHTTPSで行うこと」をWebブラウザに指示するセキュリティ機能です（RFC 6797）。サーバはHTTPSレスポンスにStrict-Transport-Securityヘッダを付与し、max-age（有効期間）を指定します。ブラウザはこのヘッダを受け取ると、指定期間中は同サイトへのHTTPリクエストを自動的にHTTPSにリダイレクト（またはHTTPSで直接接続）します。これによりSSLストリッピング攻撃（HTTPSをHTTPにダウングレードする中間者攻撃）を防ぎます。初回HTTPSアクセス時にHSTSが設定される前のリスクを防ぐために「HSTSプリロードリスト」という仕組みもあります。

なぜ他の選択肢は違うのか

選択肢 イ

「HSTSを利用するWebサイトにWebブラウザがHTTPでアクセスした場合、あるオリジンから読み込まれたリソースから他のオリジンのリソースにアクセスできないように制限する」はSOP（Same-Origin Policy）またはCORS（Cross-Origin Resource Sharing）の説明です。オリジン間のリソースアクセス制御はHSTSとは無関係のセキュリティ機能です。

選択肢 ウ

「HTTPSで通信が保護されている場合にだけ、cookieの属性によらず強制的にcookieを送信する」はcookieのSecure属性の動作を誤って説明したものです。HSTSはHTTPSへの強制リダイレクトであり、cookieの送信条件を変更するものではありません。Secure属性のないcookieがHTTPS時に送信されるかどうかはHSTSとは独立した設定です。

選択肢 エ

「信頼性が高いサーバ証明書を有するWebサイトとのHTTPS通信では、Webブラウザに鍵マークを表示する」はEV SSL証明書（Extended Validation）のブラウザ表示に関する説明です（現在はブラウザによって表示が変化）。HSTSはHTTPSの強制に関する機能であり、証明書の種類による表示変化とは無関係です。

解くときのポイント

HSTS＝「WebサーバがブラウザにHTTPSを強制させるヘッダ（Strict-Transport-Security）」。SSLストリッピング攻撃対策が主目的。「HTTPでアクセスしても自動でHTTPSに切り替わる」がユーザーから見た効果。HSTSプリロードリストでブラウザに事前登録することで初回アクセスからHTTPS強制が可能。