[情報処理安全確保支援士]HTTPに用いられる技術[無料講座・例題付き]

今回は情報処理安全確保支援士で問われるHTTPに用いられる技術について学習します。

HTTPに用いられている技術

それではHTTPに用いられている技術を確認していきましょう。

HTTPメッセージ

HTTPにおいては、HTTPメッセージによってクライアントとサーバの間でデータの受け渡しが行われます。

クライアントからサーバへ送るデータをリクエスト、サーバからクライアントに返されるデータをレスポンスと呼びます。

HTTPメッセージの構造を確認しておきましょう。

リクエスト行/ステータス行

メッセージヘッダ

空行(CR+LF：改行コード)

メッセージボディ

それぞれの意味を見ておきましょう。

リクエスト行

リクエスト行は、HTTPメッセージの先頭行で、リクエストの場合にメソッド(GET・POST・HEADなど)の種類や、URI(Uniform Resource Identifier)、HTTPのバージョンを指定します。

メソッドについては、上記以外にもサーバのファイルを置き換えるPUTや、削除するDELETE、HTTPリクエストの内容を取得するTRACEなどがありますが、いずれもセキュリティの観点から許可されていません。

URIについては、要求するページのURLやプログラムなどを指定します。GETメソッドでは、クエリストリングがセットされます。

ステータスコード

ステータスコードは、リクエスト行と同時にHTTPメッセージの先頭であり、レスポンスの場合に、リクエストに対する処理結果を示すステータスコードが入ります。

主なステータスコードは以下の通りです。

メッセージヘッダ

メッセージヘッダは、リクエストとレスポンスの内容に応じたヘッダ情報が入ります。

主なヘッダ情報としては以下のようなものが挙げられます。

メッセージボディ

メッセージボディには、リクエスト時にPOSTメソッドを使用した場合のサーバに送る情報が入ります。

GETメソッドやHEADメソッドの場合は、リクエスト行とメッセージヘッダのみとなり、メッセージボディはありません。

レスポンス時には、リクエスト内容とその結果に応じてサーバに返す情報(HTMLデータや画像データ)が入ります。

Webサーバとクライアントのデータの流れ

Webサーバとクライアント間のデータの流れも確認しましょう。

HTTPにおいては、ブラウザからの要求に応じてWebサーバ上のプログラムを起動する仕組みとしてCGIがあります。

CGIによってWebサーバのプログラムを起動する場合、パラメータやフォームに入力されたデータを渡す仕組みとして、GETメソッドとPOSTメソッドがあります。

GETメソッド

GETメソッドの特徴は以下の通りです。

POSTメソッド

次に、POSTメソッドの特徴も見ておきましょう。

URLエンコード

URLエンコードは、入力データをURLで使用可能な文字列に変換する処理です。具体例を確認しておきましょう。

Referer

Referer(正式にはReferrer)は、HTTPメッセージヘッダの1つで、あるページにアクセスしたときにどのリンクをたどってきたのか確認できるようにリンク元のURLがセットされるヘッダです。

Refererにセットされた情報をログに記録すると、Webサイトの管理者は自分のサイトがどのリンクから参照されたかを知ることができます。

Refererにはパラメータも含めたURLがセットされます。そのため、セッション管理情報やフォームからの入力データをクエリストリングにセットしている場合、Refererのログから情報漏洩する可能性があります。

Cookie

Cookieは、Webサーバがアクセスしてきたクライアントに対して、ブラウザを通じて一時的にデータを書き込み、相手を識別したりセッション状態を保持する仕組みです。

CookieはWebサーバがHTTPヘッダにセットすることで発行され、それ以降はサーバへのアクセス時に毎回自動的にHTTPヘッダに付加されます。

しかし、Cookieの属性によっては付加されないケースもあります。また、Cookieには以下のような制限もあります。

また、Cookieには次の表に示す属性があり、Webサーバが発行するときに指定します。これらの属性を適切に設定することで、Cookieの流出や不正使用を制限することが可能となります。

セッションIDの受け渡し

セッションIDの受け渡し手段として、次の3つの手法があります。

Webアプリケーションシステムとデータベースの連携

Webアプリケーションとデータベースを連携した場合、以下のような構成を取るケースが多いです。

セッション管理やデータベースとの連携などを行うミドルウェアの部分については各言語(Java・PHP・ASPなど)を用いて開発できますが、大規模なWebアプリを作成する場合、専用のWebアプリケーションサーバ製品を用いることが多いです。

結果として以下のようなメリットを受けられます。

HTTPに用いられている技術・例題

実際に例題を解いて問題に慣れていきましょう。

問1

問2

HTTPに用いられている技術・まとめ

HTTPのなかでもセキュリティを確保するための取り組みは多いです。

それぞれのコード内容まで詳細に覚える必要はありませんが、CookieをはじめとするセッションIDの受け渡し方法は押さえておきましょう。

次回はスイッチとVLANについて学習します。