応用情報技術者試験 応用情報技術者試験 令和6年度秋期 午前 問44: DNSSEC の仕様はどれか。

問題本文

DNSSEC の仕様はどれか。

選択肢

• ア.DNS キャッシュサーバで，権威 DNS サーバに名前を問い合わせるときの送信元ポート番号を問合せのたびにランダムに変える。
• イ.権威 DNS サーバで公開鍵を公開し，秘密鍵を使ってリソースレコードにデジタル署名を付与する。DNS キャッシュサーバで，権威 DNS サーバから受信したリソースレコードのデジタル署名を検証する。
• ウ.電子メールを送信するメールサーバの IP アドレスを権威 DNS サーバに登録する。電子メールを受信するメールサーバで，権威 DNS サーバに登録されている情報を用いて，送信元メールサーバの IP アドレスを検証する。
• エ.電子メールを送信するメールサーバの公開鍵を権威 DNS サーバで公開し，秘密鍵を使って電子メールにデジタル署名を付与する。電子メールを受信するメールサーバで，電子メールのデジタル署名を検証する。

正解

イ. 権威 DNS サーバで公開鍵を公開し，秘密鍵を使ってリソースレコードにデジタル署名を付与する。DNS キャッシュサーバで，権威 DNS サーバから受信したリソースレコードのデジタル署名を検証する。

解説

DNSSEC（DNS Security Extensions）は、DNS の応答が正規の権威サーバから来た改ざんされていない情報であることを保証するための拡張仕様で、デジタル署名の仕組みを使う。権威 DNS サーバは秘密鍵でリソースレコードに署名し公開鍵を公開しておき、受け取った DNS キャッシュサーバはその公開鍵で署名を検証する。これにより前問のキャッシュポイズニング（偽応答の混入）を検知できる。したがって署名の付与と検証を述べたイが正解となる。

選択肢ごとの解説

• ア.送信元ポート番号をランダムに変えるのはキャッシュポイズニングの緩和策であって、DNSSEC（署名による真正性検証）の仕様ではないため誤り。
• イ.正しい。権威 DNS サーバが秘密鍵でリソースレコードに署名し、キャッシュサーバが公開鍵で署名を検証することで応答の真正性・完全性を確認する。これが DNSSEC の中核である。
• ウ.送信元メールサーバの IP アドレスを DNS に登録し受信側が検証するのは SPF の説明であり、DNSSEC ではないため誤り。
• エ.送信側の公開鍵を DNS で公開し電子メールに署名・検証するのは DKIM の説明であり、DNSSEC ではないため誤り。