平成24年度秋期 情報処理安全確保支援士 午前Ⅱ 問18

午前II 問18：DNSSECはDNSの返事に“本物証明”を付ける仕組みだよ

DNSSECは、DNSの応答に電子署名を付けて、その返事が正しい相手から来ていて、途中で書き換えられていないことを確認する仕組みだよ。

この問題で問われていること

この問題では、DNSSECが何を守る仕組みなのかを見ているよ。たとえるなら、DNSの返事に封印付きの証明書を付けるイメージだね。DoS攻撃を防ぐ仕組みでも、IPsecが前提の仕組みでもなく、DNS応答の完全性と真正性を確認するものとして押さえよう。

DNSSEC の主目的

DNSSEC は名前解決結果に署名を付けることで、偽の応答を見分けやすくします。通信経路の暗号化やサービス停止防止を直接行うわけではありません。

DNS 応答 + 署名\n受信側で検証 -> 応答の正当性確認

確認ポイント

• DoS 攻撃防止は DNSSEC の中心機能ではありません。
• 暗号化通信の前提ではなく、署名検証の仕組みとして捉えましょう。
• BIND 代替ではなく、DNS の拡張仕様です。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。DNSSECはDNS応答の正しさを確認する仕組みで、DNSサーバに大量アクセスを浴びせるDoS攻撃を止める仕組みではないんだ。たとえるなら、身分証の偽造チェックはできるけど、窓口に人が殺到して混雑するのを防ぐ警備員の役目まではできない、ということだよ。

選択肢イ

これは不正解だよ。DNSSECはIPsecで通信全体を暗号化することが前提の仕組みではないんだ。DNSSECが守るのは主に「返事が本物かどうか」であって、手紙の中身を全部見えない封筒に入れる暗号化とは役割が違うよ。

選択肢ウ

これは不正解だよ。DNSSECは、BINDの代わりになる新しいDNSサーバソフトではなく、DNSの返事に「本物だと分かる印鑑」を付ける仕組みなんだ。たとえるなら、役所の窓口を別の窓口に変える話ではなく、書類に偽造防止のハンコを押す話だよ。

選択肢エ（正解）

これは正解だよ。DNSSECではディジタル署名を使って、DNSの応答が途中で書き換えられていないか、本当に正しい相手から来たものかを確認できるんだ。たとえるなら、宅配便の荷物に封印シールが貼ってあって、開けられたり中身をすり替えられたりしていないか確認できる感じだよ。