TLSとは｜HTTPSの仕組みとモバイル2級の要点

一言でいうと、TLS（Transport Layer Security）は、アプリケーションの通信を「相手を確かめ、中身を隠し、書き換えを見つけられる」状態にするためのプロトコルです。前身の SSL の名前が残り、「SSL/TLS」とまとめて呼ばれることもあります。

HTTPS は、Web の通信（HTTP）を TLS で保護したものです。ブラウザのアドレス欄が https で始まるとき、ブラウザとサーバの間では TLS による接続が確立しています。メールの送受信やアプリの API 通信など、Web 以外でも広く使われています。

暗号方式の組み合わせ（公開鍵暗号で鍵を共有し、本文は共通鍵暗号で守る）は共通鍵暗号と公開鍵暗号の違い、証明書の検証は電子証明書とPKIとはで詳しく扱っています。

ハンドシェイクは、暗号化通信を始める前に、使う方式を決めて鍵を共有し、サーバを確かめる手続きです。TLS 1.3 の通常の接続は、次のように1往復（1-RTT）で終わります。図と手順で、メッセージの向きと役割を整理します。

1. 1クライアント → サーバ：ClientHello。対応する暗号方式の一覧と、鍵共有のための値（key_share）を送る。
2. 2サーバ → クライアント：ServerHello。選んだ方式と、サーバ側の鍵共有の値を返す。この時点で両者は同じ鍵を計算でき、以降のハンドシェイクは暗号化される。
3. 3サーバ → クライアント（暗号化）：EncryptedExtensions（追加の設定）、Certificate（サーバ証明書）、CertificateVerify（秘密鍵を持っていることを示す署名）、Finished（ここまでのやり取りの確認）。
4. 4クライアント → サーバ（暗号化）：証明書と署名を検証してから Finished を送る。
5. 5以降、アプリケーションのデータ（HTTP のリクエストなど）を暗号化して送受信する。

前回つないだサーバに再接続するときは、以前に共有した値を使って最初のメッセージと一緒にデータを送る 0-RTT という方式もあります。速い反面、RFC 8446 は 0-RTT のデータには再送（リプレイ）への保護がないと注意しており、繰り返されても困らない要求に限って使う必要があります。

HTTP/3 で使う QUIC も、TLS 1.3 のハンドシェイクを取り込んで暗号化しています（RFC 9001）。違いはHTTP/2とHTTP/3（QUIC）の違いで整理しています。

再接続でTLSの早期データを使うと、接続確立を待たずにHTTPの要求を送れる場合があります。暗号化されていても、受信側で同じ要求を繰り返し処理する危険は残ります。RFC 9846の0-RTTの注意と、HTTPでの取り扱いを定めるRFC 8470を分けて読んでください。

たとえば読み取り専用の公開カタログを表示するだけなら、同じ表示要求が届いても注文は増えません。注文を作成する要求は、複製されたときに注文が重複するおそれがあります。操作の安全性が確認できない要求や状態を変更する通常の要求は早期データに載せません。

425 Too Earlyは、サーバーが再生されるおそれのある要求の処理を見送るときに使うHTTPの状態コードです。TLS接続の速度と、HTTP操作の安全性を同じものとして扱いません。通信方式の整理はHTTP/2とHTTP/3の違いへ。

RFC 8446 は、TLS 1.2 からの主な違いとして、古い暗号方式の削除、前方秘匿性のない鍵交換の廃止、ServerHello 以降のハンドシェイクの暗号化、0-RTT の追加などを挙げています。試験対策としては、次の表の「変わった向き」を押さえておけば十分です。

前方秘匿性とは、サーバの秘密鍵が後から漏れても、過去に記録された通信を復号できない性質です。接続ごとに使い捨ての鍵共有を行うことで実現します。

規格の番号にも注意が必要です。2026年7月に公表された RFC 9846 は RFC 8446 を置き換えましたが、版の名前は TLS 1.3 のままで、実装の経験から分かった点の明確化などが中心です（2026年9月時点）。4択で「TLS 1.3 の規格」を問われた場合、問題文の時点によって RFC 8446 と書かれていることがあります。

MCPC の公式ページでは、モバイルシステム技術検定2級（100問・100分・4者択一）の出題カテゴリに「情報セキュリティ管理」があり、比率は9%と示されています（2026年9月27日確認）。当サイトでは、公式テキスト『モバイルシステム技術テキスト 第11版』の第11章「情報セキュリティ」がこの範囲に当たると推定しています（公式の発表ではなく、章名からの判断です）。HTTPS はインターネット技術の分野とも重なります。

4択では、次のような観点が考えられます。出題頻度は公表されていないので、特定の型が多いとは言えません。

• ✓TLS の役割：認証・暗号化・改ざん検知と、TLS が担わない機能（経路の選択など）を見分けさせる。
• ✓版の違い：TLS 1.3 で変わった点、廃止された版を問う。
• ✓ハンドシェイク：証明書が送られる段階や、鍵を共有する方法を問う。
• ✓HTTPS の意味：鍵マークが保証する範囲を言いすぎた記述を不適切として選ばせる。

試験全体の形式・日程・受検料はモバイルシステム技術検定2級とはにまとめています。情報・サイバーセキュリティ管理士でのネットワーク・Webの論点はネットワーク・Webセキュリティの対策で扱っています。

TLS は「何を守り、何を守らないか」の線引きで迷いやすい用語です。