応用情報技術者試験 応用情報技術者試験 令和5年度秋期 午前 問45: DNSSEC についての記述のうち，適切なものはどれか。

正解

エ. 公開鍵暗号方式によるデジタル署名を用いることによって，正当な DNS サーバからの応答であることをクライアントが検証できる。

正答率 71.4%（370人中 264人が正解）

問題の解説

DNSSEC は、DNS の応答にデジタル署名を付け、公開鍵暗号方式で署名を検証することで、応答が正当な DNS サーバから届いたこと、改ざんされていないことを確認できるようにする拡張である。ルートから下位のゾーンへ、署名の信頼の連鎖をたどって検証する。

選択肢ごとの解説

• ア問合せの送信元ポート番号をランダムにする、DNS キャッシュポイズニングへの対策である。応答の正当性を署名で検証する DNSSEC とは別の対策である。
• イ再帰問合せを許可するクライアントを制限する、DNS を悪用した DoS 攻撃（DNS リフレクション攻撃など）への対策である。応答の正当性を検証する仕組みではない。
• ウDNSSEC が使うのは共通鍵ではなく、公開鍵暗号方式によるデジタル署名である。共通鍵によるメッセージ認証（TSIG など）は、サーバ間の通信を保護する別の仕組みである。
• エ正しい。公開鍵暗号方式によるデジタル署名で、応答が正当な DNS サーバからのものであることを、クライアントが検証できる。