平成22年度秋期 情報処理安全確保支援士 午前Ⅱ 問19

DNSの住所データに「デジタル署名」をくっつけて、偽の住所案内（ポイズニング）見破る「DNSSEC」

DNSのセキュリティを強化する技術「DNSSEC（ディーエヌエスセック）」の問題だよ。DNSキャッシュポイズニングなどで「嘘のIPアドレス」を教えられるのを防ぐ仕組み。DNSサーバーが住所情報を返す時に、そのデータに対してサーバーの「電子署名」を付与して送るんだ。受け取った側はその署名を検証することで、「この住所情報は改ざんされていない本物だ！」と確認し、安心して接続できるよ。

この問題で問われていること

DNSサーバーのソフトウェアを新しくする話や通信全体の暗号化ではなく、「DNS応答データに公開鍵暗号に基づくデジタル署名を付加し、情報の信憑性（真正性）と改ざんの有無（完全性）を確認する」技術だというポイントを選択しよう。

DNSSEC の守備範囲

DNSSEC を使うと、DNS 応答に対して署名検証を行えるため、キャッシュポイズニングのような偽応答を見破りやすくなります。ただし、通信経路の暗号化や DoS 防止を直接行うものではありません。

DNS 応答 + 署名\n受信側で検証 -> 完全性 / 送信者の正当性を確認

確認ポイント

• DNSSEC は DNS ソフトウェアの置き換えではありません。
• 通信の暗号化と応答の署名検証は別です。
• DoS 防止ではなく、DNS データの改ざん検知が中心機能です。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。DNSSECは偽物のDNS応答を見抜くための仕組みで、大量アクセスでサーバを詰まらせるDoS攻撃を止めるものではないんだ。偽造チケットを見破る係員はできても、入口に人が殺到して混雑するのを直接防げるわけではない、という感じだよ。

選択肢イ

これは不正解だよ。DNSSECはIPsecで通信全体を暗号化する仕組みではないんだ。たとえるなら、手紙そのものを鍵付き箱に入れるのが暗号化で、DNSSECは手紙に本物確認用の印鑑を押すイメージだよ。中身を隠すより、本物か・改ざんされていないかを確認するのが目的だよ。

選択肢ウ

これは不正解だよ。DNSSECはBINDの代わりになる別のDNSサーバソフトではなく、DNSに安全確認の機能を足す拡張ルールなんだ。たとえるなら、BINDは窓口の係員、DNSSECは本人確認のための印鑑チェック手順だよ。係員そのものを置き換えるものではないよ。

選択肢エ（正解）

これは正解だよ。DNSSECは、DNSの返事に「この返事は本物です」というハンコ、つまりディジタル署名を付けて確認する仕組みなんだ。お店の領収書に正式な印鑑があると安心できるのと同じで、DNSの応答が偽物にすり替えられていないかを確かめられるよ。