平成26年度秋期 情報処理安全確保支援士 午前Ⅱ 問18

午前II 問18 DNSSECの役割を押さえよう

DNSSECは、DNSの返事に電子署名を付けて「この答えは本物だよ」と確認できるようにする仕組みだよ。郵便物に封印や署名があると、途中で勝手に書き換えられていないか確認しやすい、というイメージだね。

この問題で問われていること

この問題では、DNSSECが何を守る仕組みなのかを見ているよ。DNSSECはDoS攻撃を防ぐ仕組みでも、BINDの代わりになるソフトでもなく、DNS応答が正しい相手から来ていて改ざんされていないかを検証するための機能として理解しよう。

DNSSEC の確認対象

DNSSEC を使うと、受け取ったリソースレコードに付与された署名を検証し、偽の名前解決結果を見破りやすくなります。暗号化通信そのものや可用性向上とは別の目的です。

DNS 応答 + 署名\n検証 -> 正当性 / 完全性を確認

確認ポイント

• DoS 攻撃防止は DNSSEC の主要機能ではありません。
• IPsec のような経路暗号化が前提ではありません。
• 「ディジタル署名によって DNS 応答の正当性を確認」が核心です。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。DNSSECはDNSの返事が本物かどうかを確認する仕組みであって、DNSサーバに大量アクセスを浴びせるDoS攻撃を止める防犯シャッターではないんだ。たとえるなら、書類のハンコで本物か確認できても、窓口に人が殺到するのを防げるわけではない、という感じだよ。

選択肢イ

これは間違いだよ。DNSSECはIPsecで通信全体を暗号化することが前提ではないんだ。封筒の中身を全部見えなくする暗号化というより、届いた書類に本物のサインがあるか確認する仕組みだよ。だから、IPsecによる暗号化通信が必須、という説明は違うよ。

選択肢ウ

これは間違いだよ。DNSSECはBINDの代わりになるDNSサーバソフトではなく、DNSに“署名確認”の機能を足すための仕組みなんだ。たとえるなら、BINDは窓口そのもの、DNSSECはそこで扱う書類に正式なハンコを付けるルール、という関係だよ。

選択肢エ（正解）

これは正解だよ。DNSSECは、DNSの返事に“本物の印鑑”みたいなディジタル署名を付けて確認する仕組みなんだ。例えば、窓口でもらった住所メモに正式なハンコが押してあれば「途中で誰かが書き換えてないな」と分かるよね。同じように、DNS応答が正しい相手から来ていて改ざんされていないことを確認できるよ。