平成30年度春期 情報処理安全確保支援士 午前Ⅱ 問16

DNSSECでDNS応答の“本物チェック”をする問題だよ

DNSSECは、DNSキャッシュサーバが返してきたリソースレコードについて、「ちゃんと権威DNSサーバから来たものかな？」「途中で書き換えられていないかな？」を確認する仕組みだよ。たとえるなら、荷物に付いた封印や署名を見て、“送り主が本物で、中身も開けられていない”と確かめるイメージだね。

この問題で問われていること

この問題で見ているのは、DNS応答の内容が正しいか、改ざんされていないかを確認するDNSSECの機能そのものだよ。ゾーン転送を暗号化する話や、見た目が似た文字でだますホモグラフ攻撃への対策と混同しないようにしよう。

DNSSEC の確認対象

キャッシュサーバ経由でも、応答に付いた署名を検証できれば、受け取ったレコードが正規の権威 DNS 情報かどうかを判断しやすくなります。これが DNSSEC の価値です。

権威DNSの署名\n-> キャッシュ応答に含まれる\n-> 利用側で検証

確認ポイント

• 通信の暗号化そのものではありません。
• 見た目の似た文字ドメイン対策や typo 攻撃検知ではありません。
• 「改ざんされていないことの検証」が中心です。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。DNSSECは、DNSの返事に「本物の役所が押した印鑑」が付いているか確認するような仕組みなんだ。DNSキャッシュサーバが受け取ったIPアドレスなどの情報が、正しい権威DNSサーバ由来で、途中で書き換えられていないことを検証できるよ。

選択肢イ

これは不正解だよ。DNSSECは通信そのものを暗号化して中身を隠す仕組みではないんだ。封筒の中身を見えなくするのではなく、「この書類は本物で改ざんされていないよ」という印鑑を確認するイメージだよ。

選択肢ウ

これは不正解だよ。似た文字を使って本物っぽいドメインに見せる攻撃は、いわば「本物そっくりの看板を出す偽店舗」みたいなものだね。DNSSECは看板の見た目を見分ける仕組みではなく、DNSの返事が本物かどうかを確認する仕組みなんだ。

選択肢エ

これは不正解だよ。URLの入力ミスを狙って偽サイトへ誘導する攻撃は、似た住所に偽店舗を作って待ち構えるようなものだね。DNSSECは入力ミスや偽サイトそのものを見つける仕組みではなく、DNS応答の正当性を確認する仕組みなんだ。