情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

問題文
「②について、この時、サーバ証明書が信頼できない旨のエラーが表示されなかったのはなぜか。メールサービスPにHSTSが実装されていないことを踏まえ、理由を20字以内で述べよ。」

模範解答は「HTTPで接続が開始されたから」

状況として、SさんはメールサービスPではなく、攻撃者が用意したWebサーバにHTTPでアクセスしたため、サーバ証明書の検証が行われなかったということだと思いますが、この回答のどの部分が「メールサービスPにHSTSが実装されていないことを踏まえ」た回答になっているのでしょうか？

そもそもメールサービスPにアクセスした状況ではないのに「メールサービスPにHSTSが実装されていないことを踏まえた」回答を求められていること自体が理解ができないです。何か根本の理解が誤っているでしょうか。

はい。スレ主様は以下の箇所を見落としています。
P9 「P社が提供するクラウドサービス型Webメールサービス（以下、メール
サービスPという）」
です。

ありがとうございます。ですが、分かりませんでした。。スミマセン。

・問題
Sさんは、メールサービスPにアクセスしたつもりだったが、実際にはWebブラウザは攻撃者が用意したWebサーバに接続していた。
サーバ証明書が信頼できない旨のエラーが表示されなかったのはなぜか？

・答え
httpで攻撃者が用意したWebサーバに接続したので、サーバ証明書の検証は行われず、エラーは表示されなかった。・・・それだけの事では？

・疑問
この答えに「メールサービスPにHSTSが実装されていないこと」が踏まえられている訳ではないですよね、と思うのですが。

もしSさんが接続した先がメールサービスPであれば、http…と入力してアクセスしてもhttpsにリダイレクトされるが、接続した先がWebサーバであったから、httpのまま接続されてしまった。
ってことなんでしょうか？

これでも、「メールサービスＰがhttpでアクセスしてもhttpsにリダイレクトされる仕様であること」は踏まえていますが、メールサービスＰにHSTSが実装されていないことを踏まえている訳ではないと思うんです。

HSTSを実装されていた場合は、ブラウザがhttpアクセスをhttpsに置き換えます。
実際の名前解決先が攻撃者が用意したWEBサーバであったとしてもです。

結果的にhttpsでアクセスするので、証明書のエラーが起きます。

HSTSが実装されていない場合、正規のサーバにhttpでアクセスすればリダイレクトされますが、今回は攻撃者のサーバにアクセスしているのでリダイレクトされません。
httpでアクセスするのでエラーも表示されません。

HSTSが実装されていて、二回目以降のアクセスであれば「ブラウザが」httpsにおきかえるので今回のケースではエラーに気づけたという話です。

pixさん、d-kさんありがとうございます。

＞HSTSを実装されていた場合は、ブラウザがhttpアクセスをhttpsに置き換えます。
＞実際の名前解決先が攻撃者が用意したWEBサーバであったとしてもです。

d-kさん、この解説で理解できました。ありがとうございます！