正解：ア
各選択肢の解説
ア利用者のブラウザからWebサーバまでの通信で、入力内容を盗み見られたり改ざんされたりする。
正解。HTTPSはHTTPの通信をTLSで暗号化し、改ざんの検知もできるようにします。 守られるのはブラウザとWebサーバの間を流れている間の内容です。
イWebサーバに保存した問い合わせ内容を、サーバへの不正アクセスによって持ち出される。
誤り。HTTPSが暗号化するのは通信の途中だけで、サーバに届いた後は元の内容として扱われます。 「暗号化した」という言葉から保存データまで守られると誤解しやすいですが、 保存した内容はアクセス制御や保存時の暗号化で別に守ります。
ウ自社を装った偽の問い合わせフォームに、メールのリンクなどから利用者が誘導される。
誤り。自社のサイトをHTTPSにしても、攻撃者が別に作った偽サイトは防げません。 偽サイト側もHTTPSにできるため、鍵マークだけでは本物の見分けにはなりません。 誘導への対策は、利用者への注意喚起やメールの送信元の検証などです。
エフォームの入力欄にSQL文を入れられ、問い合わせを保存するデータベースを操作される。
誤り。これはSQLインジェクションで、アプリケーションの作りの不備を突く攻撃です。 HTTPSで暗号化しても、攻撃の文字列は暗号化されたまま正しくサーバに届き、 そこで元に戻って処理されます。対策は入力の扱い方を正すことです。
理解を深めるために
守るのは「運んでいる間」
HTTPSは、封をした丈夫な封筒で手紙を運ぶようなものです。 運んでいる途中で中を読まれたり、すり替えられたりするのは防げます。 しかし、受け取った側が手紙を机に置いた後の管理や、そもそも差出人が偽の宛先に送ってしまうことまでは、 封筒では守れません。
なぜ通信経路のリスクだけなのか
HTTPS（HTTP over TLS）は、ブラウザとWebサーバの間のHTTPの通信をTLSで暗号化します。
- 通信の途中での盗み見: 暗号化されているので読めない
- 通信の途中での改ざん: TLSで検知できる
- サーバに届いた後: 復号されて元の内容としてアプリケーションに渡る
問い合わせフォームには、氏名や連絡先などの個人情報が入力されます。HTTPのままだと、 公衆無線LANなどの経路上で内容を読まれるおそれがあるため、HTTPSにするのは必要な対策です。 ただし、守れる範囲は経路だけです。サーバへの不正アクセス、偽サイトへの誘導、 アプリケーションの不備を突く攻撃には、それぞれ別の対策を組み合わせます。
混同しやすいものとの違い
| リスク | HTTPSで低減できるか | 主な対策 |
|---|---|---|
| 通信途中の盗み見・改ざん | できる | HTTPS（TLS） |
| 保存データの持出し | できない | アクセス制御、保存時の暗号化 |
| 偽サイトへの誘導 | できない | 注意喚起、送信元の検証 |
| SQLインジェクション | できない | 入力の扱い方の修正 |
試験では、ある対策が「どの場所の、どのリスク」を減らすのかを切り分けられるかが問われます。