平成28年度秋期 情報処理安全確保支援士 午前Ⅱ 問13

午前II 問13

DNSSECは、DNSの返事に“公式のハンコ”が付いているかを確認する仕組みだよ。DNSキャッシュサーバが返してきたリソースレコードが、本当に権威DNSサーバで管理された正しい情報なのか、途中で書き換えられていないかを検証できるんだ。

この問題で問われていること

この問題のポイントは、ドメイン名が紛らわしいかどうかや、通信そのものを暗号化する話ではないよ。DNSの応答内容が“本物で、改ざんされていないか”という完全性と真正性を確認する機能を問う問題だと押さえよう。

DNSSEC の検証対象

DNSSEC は署名付きレコードを受け取り、利用者側でその署名を検証します。これにより、キャッシュを経由しても正規の権威サーバ情報かどうかを確かめられます。

権威DNSの署名付きレコード\n-> キャッシュ経由で受信\n-> 署名検証

確認ポイント

• 通信経路の暗号化自体は DNSSEC の中心ではありません。
• ホモグラフ攻撃や typo 攻撃対策でもありません。
• 「権威 DNS の情報で改ざんされていないか」を見ます。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。DNSSECは、DNSの返事が本物の権威DNSサーバ由来で、途中で書き換えられていないかを確認する仕組みなんだ。たとえるなら、窓口でもらった案内メモに正式な署名が付いていて、『この住所案内は本物だね』と確認できるようにするイメージだよ。

選択肢イ

これは不正解だよ。DNSSECは通信そのものを暗号化して隠す仕組みではないんだ。たとえるなら、手紙の中身を封筒で隠すのではなく、手紙に押された正式なハンコを確認する仕組みだよ。ゾーン情報の漏えい防止が主目的ではないよ。

選択肢ウ

これは不正解だよ。これは、見た目がそっくりな文字で偽サイトに見せかける「ホモグラフ攻撃」の話だね。DNSSECは、郵便物に本物の印鑑があるか確認する仕組みに近くて、文字の見た目が紛らわしいかまでは判断してくれないんだ。

選択肢エ

これは不正解だよ。URLの打ち間違いを狙って偽サイトに誘導する攻撃は「タイポスクワッティング」みたいな話だね。DNSSECは、案内された住所情報が改ざんされていないかを確認する仕組みで、利用者がURLを打ち間違えたこと自体を検知する仕組みではないよ。