令和元年度秋期 情報処理安全確保支援士 午前Ⅱ 問18

DNSSECはDNSの“本人確認スタンプ”だよ

DNSSECは、DNSの応答データにディジタル署名を付ける仕組みだよ。たとえば、荷物に封印シールが貼ってあって、受け取った人が「途中で開けられてないかな？」「本当に正しい送り主かな？」を確認するイメージ。DNSSECでは受信側が署名を検証することで、DNS応答の改ざんやなりすましを見つけられるんだ。

この問題で問われていること

この問題では、DNSSECを「DoS攻撃を防ぐ仕組み」や「IPsecを前提にした仕組み」と勘違いしないことが大事だよ。DNSSECの役割は、名前解決で返ってきた結果が本物か、途中で書き換えられていないかを確認するためのDNS拡張だと押さえよう。

DNSSEC の目的

応答データに署名を付け、DNS の信頼の連鎖で検証することで正当性を確認する。

DNS 応答\n+ ディジタル署名\n-> 正当性確認

確認ポイント

• DoS 攻撃そのものを防ぐ仕組みではありません。
• IPsec が前提でも BIND の代替でもない。
• ディジタル署名による応答正当性確認を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。DNSSECは、DNSの返事が本物かどうかを確認する仕組みであって、攻撃で窓口に人が殺到するようなDoS攻撃を止める仕組みではないんだ。たとえるなら、身分証で相手が本物か確認できても、お店の前に大行列を作られること自体は防げない、という感じだよ。

選択肢イ

これは間違いだよ。DNSSECはIPsecで通信全体を暗号化することが前提ではないんだ。手紙の中身を封筒で隠すのが暗号化だとすると、DNSSECは手紙に本物の署名があるか確認する仕組みだよ。目的が少し違うんだ。

選択肢ウ

これは間違いだよ。DNSSECはDNSサーバソフトの代替品ではなく、DNSの応答に署名を付けて確認できるようにする仕組みなんだ。BINDはDNSサーバという“窓口の人”、DNSSECはその返事に付ける“本物証明のハンコ”みたいなものだよ。

選択肢エ（正解）

これは正解だよ。DNSSECではDNSの応答にディジタル署名を付けて、その返事が途中で改ざんされていないか、本物のDNS情報かを確認できるんだ。たとえるなら、住所案内に公式の印鑑が押してあって、偽物の案内板にだまされにくくする仕組みだよ。