令和2年度10月 情報処理安全確保支援士 午前Ⅱ 問15

DNSSECはDNSの答えに“本物証明のハンコ”を付ける仕組みだよ

DNSSECでは、DNSの応答に含まれるリソースレコードへディジタル署名を付けるよ。たとえるなら、DNSの返事に「これは本物の権威DNSサーバから来たもので、途中で書き換えられていません」という証明印を押すイメージだね。キャッシュサーバや利用者側は、その署名を確認することで、応答が正しい相手から来ていて改ざんされていないかを検証できるんだ。

この問題で問われていること

この問題で大事なのは、DNSSECの役割を「通信内容を暗号化すること」や「似た文字を使ったホモグラフ攻撃を防ぐこと」と混同しないことだよ。DNSSECの中心的な役割は、DNSの応答が本物で、途中で改ざんされていないかを確認することだと押さえよう。

DNSSEC の役割

DNSSEC は応答内容の真正性・完全性確認を目的とし、名前解決結果の改ざん検知を可能にする。

権威 DNS 由来の署名\n-> 応答の正当性・改ざん有無を検証

確認ポイント

• 権威 DNS とキャッシュ DNS 間通信を暗号化する仕組みではありません。
• 似た文字のドメイン名攻撃防止も主目的ではありません。
• 改ざんされていないことの検証を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。DNSSECは、DNSキャッシュサーバが受け取った住所案内が『本物の管理者から来た返事で、途中で書き換えられていない』ことを確認する仕組みなんだ。たとえるなら、届けられた住所メモに正式な印鑑が押されていて、偽造や改ざんがないか確認する感じだよ。

選択肢イ

これは不正解だよ。DNSSECは通信内容を暗号で隠す仕組みではなく、『この返事は本物の窓口が出したものだよ』と署名で確認する仕組みなんだ。手紙に封をして中身を隠すのではなく、印鑑で偽物じゃないと確認するイメージだよ。

選択肢ウ

これは不正解だよ。似た文字を使って本物っぽいドメイン名に見せる攻撃は、『本物そっくりの看板を出す偽店舗』みたいなもの。DNSSECは看板の見た目が紛らわしいかを判定する仕組みではなく、DNSの返事が改ざんされていないかを確認する仕組みだよ。

選択肢エ

これは不正解だよ。利用者がURLを打ち間違えて偽サイトに行ってしまう攻撃は、いわば『駅名を打ち間違えた人を別の店に誘導する客引き』みたいなもの。DNSSECはDNSの返事が本物かどうかを確認する仕組みで、入力ミスそのものを見つけたり防いだりするものではないよ。