応用情報技術者試験 応用情報技術者試験 平成31年度春期 午前 問40: DNSSEC についての記述のうち，適切なものはどれか。

正解

エ. 公開鍵暗号方式によるディジタル署名を用いることによって，正当な DNS サーバからの応答であることをクライアントが検証できる。

正答率 78.9%（772人中 609人が正解）

問題の解説

DNSSEC（DNS Security Extensions）が何を使って何を保証する仕組みかを問う問題である。DNSSEC は DNS の応答（レコード）に公開鍵暗号方式によるディジタル署名を付けることで、その応答が正当な権威 DNS サーバから出され改ざんされていないことをクライアント（リゾルバ）が検証できるようにする拡張である。DNS キャッシュポイズニングのような偽の応答による誘導を防ぐのが目的であり、エが正解である。

選択肢ごとの解説

• ア問合せ時の送信元ポート番号をランダム化して不正応答を当てにくくするのはソースポートランダマイゼーションの説明であり、署名で検証する DNSSEC ではない。
• イ再帰問合せを許可するクライアントを制限して DoS を防ぐのはアクセス制限の対策であり、応答の正当性を署名で保証する DNSSEC とは異なる。
• ウDNSSEC が用いるのは公開鍵暗号方式によるディジタル署名であり、共通鍵によるメッセージ認証とする点が誤り。
• エ公開鍵暗号方式のディジタル署名で正当な DNS サーバからの応答であることを検証できるという、DNSSEC の仕組みそのものであり正しい。