応用情報技術者試験 応用情報技術者試験 令和6年度秋期 午前 問44: DNSSEC の仕様はどれか。

正解

イ. 権威 DNS サーバで公開鍵を公開し，秘密鍵を使ってリソースレコードにデジタル署名を付与する。DNS キャッシュサーバで，権威 DNS サーバから受信したリソースレコードのデジタル署名を検証する。

正答率 53.2%（1,332人中 708人が正解）

問題の解説

DNSSEC（DNS Security Extensions）は、DNS の応答が正規の権威サーバから来た改ざんされていない情報であることを保証するための拡張仕様で、デジタル署名の仕組みを使う。権威 DNS サーバは秘密鍵でリソースレコードに署名し公開鍵を公開しておき、受け取った DNS キャッシュサーバはその公開鍵で署名を検証する。これにより前問のキャッシュポイズニング（偽応答の混入）を検知できる。したがって署名の付与と検証を述べたイが正解となる。

選択肢ごとの解説

• ア送信元ポート番号をランダムに変えるのはキャッシュポイズニングの緩和策であって、DNSSEC（署名による真正性検証）の仕様ではないため誤り。
• イ正しい。権威 DNS サーバが秘密鍵でリソースレコードに署名し、キャッシュサーバが公開鍵で署名を検証することで応答の真正性・完全性を確認する。これが DNSSEC の中核である。
• ウ送信元メールサーバの IP アドレスを DNS に登録し受信側が検証するのは SPF の説明であり、DNSSEC ではないため誤り。
• エ送信側の公開鍵を DNS で公開し電子メールに署名・検証するのは DKIM の説明であり、DNSSEC ではないため誤り。