令和3年度秋期 プロジェクトマネージャ 午前Ⅱ 問25

拡張技術が守る対象を見極める

セキュリティ拡張技術は、元の仕組みのどの弱点を補うために作られたのかという設計目的から理解すると整理しやすくなります。目的と、それを実現する手段の性質を結びつけ、技術が保証できる範囲と保証しない範囲を分けて考えるのが検討の軸になります。

この問題で問われていること

問われているのは、DNSの応答を受け取る側にとって、拡張技術によってどのような保護が加わるのかという点です。脅威と対策の対応関係を意識し、仕組みが直接もたらす効果と、別の技術が担うべき効果を混同しないことが重要です。

視点

セキュリティ技術を学ぶときは、名称の印象ではなく『想定している脅威は何か』『その脅威に対してどのような手段で対処しているか』『その手段の性質上、何は守れて何は守れないか』の順で整理すると理解が安定します。一つの技術がすべての安全性を同時に満たすとは限らないため、保証する範囲の境界を自分の言葉で説明できるかを確認してください。

確認ポイント

• この拡張技術が生まれた背景として、元のDNSにどのような弱点があったのかを自分の言葉で説明できるか
• その弱点に対処する手段の性質から、直接得られる効果の範囲を説明できるか
• その技術の対象外となる安全性があるとすれば何か、また別の技術が担う可能性がないかを区別して考えられているか

正解

イ

解説

DNSSECは、DNSのリソースレコードに付けられたディジタル署名を利用し、情報の送信者が正当であることと、データが改ざんされていないことを検証する機能です。

理由

DNSSECでは、DNSサーバから受け取ったリソースレコードに対するディジタル署名を利用する。これにより、リソースレコードの送信者の正当性と、受信したデータの完全性を検証できる。したがって、DNSSECの機能を説明しているのはイです。

比較

DNSキャッシュサーバの再帰的問合せの範囲設定はアクセス制御、セカンダリDNSサーバによる二重化は可用性向上、共通鍵暗号とハッシュ関数によるDNS更新要求の認証は更新操作の認証に関する説明であり、DNSSECの機能そのものではありません。

選択肢ア

これは不正解だよ。説明しているのは、DNSキャッシュサーバの設定によって再帰的な問合せを受け付ける送信元の範囲を調整することです。これはアクセス範囲の制御に関する内容であり、リソースレコードの送信者の正当性やデータの完全性をディジタル署名で検証するDNSSECの機能とは異なります。

選択肢イ（正解）

これは正解だよ。DNSサーバから受け取るリソースレコードに対するディジタル署名を利用し、リソースレコードの送信者が正当かどうかと、データの内容が改ざんされていないかを検証する説明です。これはDNSSECが提供する機能に一致します。

選択肢ウ

これは不正解だよ。説明しているのは、ISPなどにセカンダリDNSサーバを設置し、権威DNSサーバを二重化して名前解決の可用性を高めることです。複数サーバによる障害対策の説明であり、DNSSECによるリソースレコードの署名検証とは異なります。

選択肢エ

これは不正解だよ。説明しているのは、共通鍵暗号とハッシュ関数を利用し、DNS更新要求が許可されているエンドポイントを特定して認証することです。これはDNS更新操作を認証する仕組みの説明であり、受け取ったリソースレコードの送信者と完全性を検証するDNSSECとは役割が異なります。

学習のポイント

DNSSECの認証対象と、DNSの可用性向上や更新要求の認証との違いを整理する。