平成27年度春期 情報処理安全確保支援士 午前Ⅱ 問14

午前II 問14：DNSSECは“DNSの返事が本物か”を確かめる仕組みだよ

DNSSECでできるのは、DNSキャッシュサーバから返ってきたリソースレコードが、ちゃんと権威DNSサーバで管理されている本物の情報か、途中で書き換えられていないかを検証することだよ。たとえるなら、DNSの返事に“公式の封印”が付いていて、その封印を見て「これは正規の管理者が出した情報だね」「中身も改ざんされていないね」と確認するイメージだよ。

この問題で問われていること

この問題のポイントは、見た目が似ている偽ドメインを防ぐことや、通信内容を暗号化することではなく、DNS応答の完全性と真正性を確認することだよ。つまり「返ってきたDNS情報が本物で、改ざんされていないか」を見極めよう。

DNSSEC が保証すること

DNSSEC は DNS 応答に署名を付けて検証するため、利用者は受け取ったレコードが正規の権威 DNS から来たものかを確認できます。経路暗号化や typo 攻撃検知とは別機能です。

権威DNSの署名付き応答\n-> 受信側で検証\n-> 改ざんされていないと確認

確認ポイント

• 長音と漢数字など見た目の似た文字問題は別の攻撃です。
• 権威 DNS とキャッシュ DNS 間通信の暗号化そのものではありません。
• 「改ざんされていないことの検証」が DNSSEC の中心です。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これが正解だよ。DNSSECは、DNSの返事に付いた電子署名を確認して、「この住所案内は本物の窓口が出したもので、途中で書き換えられていない」と確かめる仕組みなんだ。合鍵で勝手に案内板を書き換えられていないかを、印鑑でチェックするイメージだよ。

選択肢イ

これは不正解だよ。通信の暗号化は、手紙の中身を封筒に入れて見えなくするようなものだね。でもDNSSECの主目的は暗号化ではなく、「その情報に正しい印鑑が押されているか」を確認することだよ。ゾーン情報の漏えい防止が目的ではないんだ。

選択肢ウ

これは不正解だよ。似た文字を使って本物っぽいドメイン名に見せる攻撃は、看板の文字をそっくりにして別の店へ誘導するようなものだね。DNSSECは「返ってきたDNS情報が改ざんされていないか」を確認するもので、紛らわしい名前そのものを禁止したり見分けたりする仕組みではないよ。

選択肢エ

これは不正解だよ。URLの打ち間違いを狙って偽サイトへ誘導する攻撃は、いわば「似た住所の店を用意して迷った人を呼び込む」ようなものだね。DNSSECは住所案内そのものが本物かを確認する仕組みで、利用者の入力ミスを見つける仕組みではないよ。