平成23年度秋期 情報処理安全確保支援士 午前Ⅱ 問1

DNSの住所データに「デジタル署名」を付け、送られてきた住所が改ざんされていないか検証する（DNSSEC）

DNSキャッシュポイズニングなどの偽情報から守る技術「DNSSEC」についての問題だよ。DNSSECでは、DNSサーバーが返すデータ（リソースレコード）に対して、公開鍵暗号に基づく「デジタル署名（電子署名）」をくっつけるんだ。これを受け取ったパソコンやキャッシュサーバーが署名を検証して、「間違いなく本物のサーバーが作った正しい住所データだ！」と確認する仕組みだよ。

この問題で問われていること

単にサーバーの稼働率（可用性）を上げる話やアクセス設定ではなく、「DNSサーバーが署名付きのレコードを返し、受信側がその署名の正当性を検証する」というDNSSECの動作メカニズムを選ぼう。

可用性対策との違い

二重化や受付範囲の設定は名前解決サービスの運用に関する話です。DNSSEC は、応答レコード自体が改ざんされていないかを検証するための拡張です。

二重化 -> 可用性\nDNSSEC -> 応答の完全性 / 正当性

確認ポイント

• セカンダリ DNS は可用性向上の説明です。
• 再帰問合せ範囲の設定はキャッシュサーバ運用の話です。
• 署名されたリソースレコードの検証に注目しましょう。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。再帰的な問合せの受付範囲を広げるのは、誰でも相談できる窓口を大きく開けるようなものだよ。便利そうに見えて、悪用される危険もあるし、DNSSECの目的である「返答が偽物でないか確認する」こととは関係ないよ。

選択肢イ（正解）

これは正解だよ。DNSSECは、DNSの返事に印鑑や封印のようなデジタル署名を付けて、受け取った側が「本当に正しい相手から来た情報かな」「途中で泥棒に書き換えられていないかな」を確認する仕組みだよ。つまり、送信元の正当性とデータの完全性を検証する、という説明がDNSSECに合っているよ。

選択肢ウ

これは不正解だよ。セカンダリDNSサーバを用意すると、窓口を2つに増やすようなものだから、片方が止まっても名前解決しやすくなる。でもこれは可用性を高める話で、DNSSECのように「返ってきた住所情報が本物か、途中で書き換えられていないか」を確認する仕組みではないよ。

選択肢エ

これは不正解だよ。共通鍵やハッシュでDNS更新要求を認証するのは、合鍵を持っている人だけが住所録を更新できるようにするイメージで、主にDynamic DNS更新の認証の話だよ。DNSSECは更新してよい人を確認する仕組みではなく、受け取ったDNS情報が本物かを署名で確認する仕組みだよ。