HTTPS は何を守っていますか

こう聞かれます

• 「HTTPS は何を守っているか、説明してください」
• 「証明書は何のためにありますか」
• 「鍵のマークが付いているサイトなら安全ですか」(誤解が無いかを確かめる形)

面接官が見ている点

• 「暗号にする」だけでなく、書き換えの検知と相手の確かめまで、3 つを分けて言えるか
• 証明書が「相手が本物か」を示す物だと分かっているか
• HTTPS で守れない物 (サーバーの中の弱さ、偽のサイトそのもの) を区別できるか

短い答え

• HTTPS は、HTTP の通信を TLS で包んで、途中で中身を盗み見られないようにし、書き換えられたら気づけるようにします。
• さらに証明書で、つないだ相手が本当にそのドメインの持ち主のサーバーかを確かめ、なりすましを防ぎます。
• 守るのは通信の途中だけなので、サーバーの中の弱さや、本物そっくりの偽のサイトまでは防げません。

少し詳しい答え

よくある間違い

• 「HTTPS なら安全なサイト」と言う HTTPS が示すのは、通信が守られていることと、その名前の相手につながったことです。サイトが善良かどうかは示しません
• 「暗号にするだけ」と言う書き換えの検知と相手の確かめが抜けると、なぜ証明書が要るのかを説明できません
• 「ログインの頁だけ HTTPS にすればよい」と言うログインのあとに送る Cookie を HTTP で盗まれれば、なりすまされます。サイト全体を HTTPS にします

深掘りの問い

• 「証明書のドメインが合わないとき、ブラウザが止めるのはなぜですか」 つないだ相手が、開こうとした名前の持ち主だと確かめられないからです。なりすましの疑いがある、と答えます
• 「公開鍵の暗号と共通鍵の暗号は、どう使い分けていますか」 つなぐ最初の取り決めで公開鍵の仕組みを使って共通の鍵を決め、そのあとの本文は速い共通鍵で暗号にする、と答えます
• 「HTTP のまま開かれたときに、HTTPS へ寄せる方法は」 HTTPS の住所へ移す案内 (301) と、次から HTTPS だけを使わせるヘッダー (HSTS) を挙げます

関連するコースと用語

• HTTPS と TLS ハンドシェイク
  コース「ネットワーク基礎」
• 機密性（Confidentiality）とは
  コース「Webセキュリティ入門」
• 完全性（Integrity）とは
  コース「Webセキュリティ入門」

用語集で確かめる言葉は、SSL/TLS、SSL証明書、公開鍵、HTTP です。