応用情報技術者試験 応用情報技術者試験 令和6年度春期 午前 問37: DNSSEC で実現できることはどれか。

正解

ア. DNS キャッシュサーバが得た応答の中のリソースレコードが，権威 DNS サーバで管理されているものであり，改ざんされていないことの検証

正答率 73.4%（1,448人中 1,063人が正解）

問題の解説

DNSSEC は、DNS の応答にデジタル署名を付け、受け取った側が署名を検証する仕組みである。これにより、キャッシュサーバが得たリソースレコードが、権威 DNS サーバで管理されている正当なもので、途中で改ざんされていないことを確認でき、キャッシュポイズニングへの対策になる。通信の暗号化や、紛らわしいドメイン名の防止、入力誤りを悪用した偽サイトの検知は、DNSSEC の機能ではない。

選択肢ごとの解説

• ア正しい。権威 DNS サーバが付けたデジタル署名をキャッシュサーバが検証し、応答が正当な出どころのもので改ざんされていないことを確認できる。
• イDNSSEC は署名で正当性と完全性を確かめる仕組みであり、通信の暗号化はしない。ゾーン情報の漏えい防止は DNSSEC の機能ではない。
• ウ似た文字を使って正規サイトに見せかける攻撃は、ドメイン名の見た目の問題である。署名の検証では防げない。
• エURL の入力誤りを狙った偽サイトのドメインも、正規に登録され署名されていれば検証を通るので、DNSSEC では検知できない。