平成25年度春期 情報処理安全確保支援士 午前Ⅱ 問2

午前II 問02

DNSSECは、DNSの返事に付いた“電子的なハンコ”を確認して、本当に信頼できる情報かを見分ける仕組みだよ。ポイントは、署名付きレコードを正しく検証することだよ。

この問題で問われていること

この問題では、DNSの応答が途中で書き換えられていないか、正しい相手から来たものかをどう確かめるかを見ているよ。お店の領収書に押された正式な印鑑を確認するイメージで、可用性を上げる仕組みや再帰問合せの設定ではなく、署名されたリソースレコードの検証に注目しよう。

運用設定との違い

二重化や受付範囲の設定は名前解決サービスの運用に関する話です。DNSSEC は、応答レコード自体が改ざんされていないかを検証するための拡張です。

二重化 -> 可用性\nDNSSEC -> 応答の完全性 / 正当性

確認ポイント

• セカンダリ DNS は可用性向上の説明です。
• 再帰問合せ範囲の設定はキャッシュサーバ運用の話です。
• 署名されたリソースレコードの検証に注目しましょう。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。再帰的な問合せの受付範囲を最大にするのは、誰でも使える案内窓口を広く開けるようなものだよ。DNSSECは窓口を広げる機能ではなく、DNSの答えに偽造や改ざんがないかを確認するための仕組みなんだ。

選択肢イ（正解）

これは正解だよ。DNSSECは、DNSの答えに『本物の店員さんが出した伝票です』という電子的な署名を付けて確認する仕組みなんだ。だから、受け取ったDNS情報が正しい相手から来たか、途中で書き換えられていないかをチェックできるよ。

選択肢ウ

これは不正解だよ。セカンダリDNSで二重化するのは、窓口を2つ用意して片方が休んでも案内できるようにする話で、可用性を高める仕組みなんだ。DNSSECのように『その案内が本物か』を署名で確認する仕組みではないよ。

選択肢エ

これは不正解だよ。これはTSIGの説明に近いよ。TSIGは、合鍵と合言葉で『この人はDNS更新をしてよい人か』を確認するような仕組みなんだ。DNSSECはDNS更新の許可確認ではなく、配られたDNS情報が本物かを署名で検証する仕組みだよ。