HTTP_Strict_Transport_Security

デジタル大辞泉

エッチ‐エス‐ティー‐エス【HSTS】

読み方：えっちえすてぃーえす

《HTTP strict transport security》ブラウザーでウェブサイトにアクセスした際、初回にHTTPでアクセスしても、次回以降はHTTPSに置き換えて通信する仕組み。中間者攻撃などを防ぐことができる。

ウィキペディア

HTTP Strict Transport Security

出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2024/12/03 17:50 UTC 版)

この記事は英語版の対応するページを翻訳することにより充実させることができます。（2024年12月） 翻訳前に重要な指示を読むには右にある[表示]をクリックしてください。 英語版記事を日本語へ機械翻訳したバージョン（Google翻訳）。 万が一翻訳の手がかりとして機械翻訳を用いた場合、翻訳者は必ず翻訳元原文を参照して機械翻訳の誤りを訂正し、正確な翻訳にしなければなりません。これが成されていない場合、記事は削除の方針G-3に基づき、削除される可能性があります。 信頼性が低いまたは低品質な文章を翻訳しないでください。もし可能ならば、文章を他言語版記事に示された文献で正しいかどうかを確認してください。 履歴継承を行うため、要約欄に翻訳元となった記事のページ名・版について記述する必要があります。記述方法については、Wikipedia:翻訳のガイドライン#要約欄への記入を参照ください。 翻訳後、{{翻訳告知|en|HTTP Strict Transport Security|…}}をノートに追加することもできます。 Wikipedia:翻訳のガイドラインに、より詳細な翻訳の手順・指針についての説明があります。

HTTP
主要項目
持続的接続 圧縮（英語版） HTTPS HTTP/2 HTTP/3
リクエストメソッド
OPTIONS GET HEAD POST（英語版） PUT DELETE TRACE CONNECT PATCH（英語版）
ヘッダーフィールド（英語版）
Cookie ETag Location（英語版） リファラ DNT（英語版） X-Forwarded-For
ステータスコード
301 Moved Permanently（英語版） 302 Found 303 See Other（英語版） 403 Forbidden 404 Not Found 503 Service Unavailable
認証方式
Basic認証 Digest認証
セキュリティホール
HTTPヘッダ・インジェクション HTTPリクエストスマグリング（英語版） HTTPレスポンス分割（英語版） HTTPパラメータ汚染（英語版）
表 話 編 歴

HTTP Strict Transport Security (略称 HSTS)とは、WebサーバーがWebブラウザに対して、現在接続しているドメイン（サブドメインを含む場合もある）に対するアクセスにおいて、次回以降HTTPの代わりにHTTPSを使うように伝達するセキュリティ機構である。RFC 6797 で規定されている。

概要

WebサーバーがWebブラウザに対して、セキュアなHTTPSのみでサービスを提供したい場合、ユーザーの利便性といった観点から、HTTPで接続した際にHTTPSのURIにリダイレクトする場合がある。その際に、Webサーバーからのレスポンスにリダイレクトする指示を入れることになるが、HTTPは改竄検知機能を持たないため、攻撃者がこれを悪意のあるサイトにリダイレクトする指示に書き換えたり、HTTPSの内容をHTTPで中継(SSL Stripping)したとしても、Webブラウザはそれを知ることができず、中間者攻撃を許してしまう。

HSTSではユーザーがWebブラウザにスキームがhttpであるURIを入力するなどしてHTTPで接続しようとした時に、予めWebサーバーがHSTSを有効にするよう指示してきたドメインの場合、Webブラウザが強制的にHTTPSでの接続に置き換えてアクセスすることで、この問題を解決する。

動作

セキュリティ上の考察

• HSTSはHTTPS接続が安全であることを前提としているため、TLSの安全性が脅かされる場合には意味を成さない場合がある。^[1]

• 最初の接続ではWebブラウザはHTTPS接続を強制するべきかどうかを知り得ないため、攻撃に対して脆弱である。^[2]この問題に対する解決策として、HSTS Preloadingが存在する。

脚注

[脚注の使い方]

1. ^ Hodges, Jeff; Jackson, Collin; Barth, Adam (Nov 2012). “Section 14.3. Ramifications of HSTS Policy Establishment Only over Error-Free Secure Transport”. RFC 6797. IETF. 29 Jun 2013閲覧。
2. ^ Hodges, Jeff; Jackson, Collin; Barth, Adam (Nov 2012). “Section 14.6. Bootstrap MITM Vulnerability”. RFC 6797. IETF. 29 Jun 2013閲覧。

関連項目

• コンピュータセキュリティ

外部リンク

• RFC 6797 - HTTP Strict Transport Security
• HTTP Strict Transport Security - Security | MDN

この項目は、インターネットやウェブに関連した書きかけの項目です。この項目を加筆・訂正などしてくださる協力者を求めています（PJ:コンピュータ/P:コンピュータ）。

• 表示
• 編集

表 話 編 歴 SSLとTLS
プロトコル	TLS/SSL OCSP HTTPS STARTTLS DTLS ACME
技術	認証局 証明書失効リスト DNS Certification Authority Authorization DANE EV証明書 HSTS HTTP公開鍵ピンニング（英語版） OCSPステープリング（英語版） Perfect forward secrecy 公開鍵証明書 公開鍵暗号 公開鍵基盤 ルート証明書 SNI
歴史	アメリカ合衆国からの暗号の輸出規制 サーバゲート暗号化（英語版）
実装	Bouncy Castle（英語版） BoringSSL Botan cryptlib（英語版） GnuTLS JSSE（英語版） LibreSSL MatrixSSL（英語版） NSS OpenSSL mbed TLS（英語版） RSA BSAFE（英語版） SChannel SSLeay stunnel wolfSSL
公証	証明書の透明性 Convergence（英語版） HTTPS Everywhere / SSL Observatory Perspectives Project（英語版）
脆弱性	理論 中間者攻撃 パディングオラクル攻撃 Lucky Thirteen攻撃 暗号 バル・ミツワー攻撃（英語版） プロトコル BEAST BREACH CRIME Logjam* POODLE（SSL 3.0） 実装 認証局危殆化（英語版） 乱数発生器攻撃（英語版） FREAK goto fail Heartbleed POODLE（TLS 1.0） カザフスタン政府による中間者攻撃

表 話 編 歴 脆弱性、攻撃手法、エクスプロイト
クロスサイト攻撃	クロスサイトリクエストフォージェリ (CSRF) クロスサイトスクリプティング (XSS) クロスサイト・クッキング クロスサイトトレーシング クロスゾーンスクリプティング（英語版）
インジェクション攻撃 (CWE-74)	クロスサイトスクリプティング (XSS) (CWE-79) SQLインジェクション (CWE-89) HTTPヘッダ・インジェクション HTTPレスポンススプリッティング（英語版） (CWE-113) 書式文字列攻撃 (CWE-134)
スプーフィング攻撃	DNSスプーフィング IPスプーフィング ARPスプーフィング クリックジャッキング (CAPEC-103) リファラスプーフィング（英語版） Eメールスプーフィング（英語版） フィッシング (CAPEC-98) ファーミング (CAPEC-89)
セッションハイジャック関連	セッションフィクセーション (CWE-384, CAPEC-61) セッションポイズニング（英語版） TCPシーケンス番号予測攻撃 クッキーモンスター攻撃（英語版）
DoS攻撃	Land攻撃 クリアチャネル評価攻撃（英語版）
サイドチャネル攻撃	コールドブート攻撃（英語版） Meltdown Spectre Lazy FP state restore（英語版） TLBleed（英語版）
不適切な入力確認 (CWE-20)	バッファオーバーフロー (CWE-119、120、121等) Return-to-libc攻撃 ディレクトリトラバーサル (CWE-22)
未分類	中間者攻撃 (CAPEC-94) MITB攻撃 MOTS攻撃（英語版） Off-by-oneエラー (CWE-193) ファイルインクルード脆弱性（英語版） Mass Assignment脆弱性（英語版） ダングリングポインタ（英語版） DNSリバインディング in-sessionフィッシング（英語版） クッキースタッフィング（英語版） 悪魔の双子攻撃 IDNホモグラフ攻撃 スナーフィング（英語版） JITスプレーイング（英語版） リプレイ攻撃 誕生日攻撃 CRIME KRACK Intel ME（英語版）の脆弱性
対策	OP25B Content Security Policy（英語版） コンテントスニッフィング（英語版） HTTP Strict Transport Security (HSTS) ファイアウォール 侵入防止システム (IPS) 侵入検知システム (IDS) Web Application Firewall (WAF) Wi-Fi Protected Access
関連項目	マルウェア セキュリティホール クラッキング 脆弱性情報データベース ブラウザクラッシャー シェルコード Metasploit Sshnuke Nikto Web Scanner（英語版） OWASP（英語版） w3af（英語版） 隠れ通信路（英語版）

ウィキペディア小見出し辞書

HTTP Strict Transport Security (HSTS)

出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2022/06/16 22:23 UTC 版)

「Internet Explorer 11」の記事における「HTTP Strict Transport Security (HSTS)」の解説

2015年6月の Internet Explorer の累積的なセキュリティ更新プログラム (KB3058515) で、HSTS に対応した。