令和3年度春期 情報処理安全確保支援士 午前Ⅱ 問10

CAAレコードは「証明書を出していい会社」を指定する仕組みだよ

CAAレコードは、DNSに「このドメインのSSL/TLS証明書は、この認証局だけが発行していいよ」と書いておくためのレコードだよ。たとえるなら、お店の入口に「この荷物を受け取っていい配送会社はここだけ」と貼り紙しておくようなもの。認証局は証明書を発行する前にCAAを確認するので、許可されていない認証局が勝手に証明書を発行してしまうリスクを減らせるんだ。

この問題で問われていること

この問題では、CAAレコードの役割が「URLを短くすること」や「迷惑メール対策」ではなく、「どの認証局に証明書の発行を許可するかを制御すること」だと見抜けるかがポイントだよ。

CAA レコード

ドメイン所有者が許可した CA 以外は証明書を発行しないように誘導する仕組みです。

DNS で発行許可 CA を指定\n-> 不正証明書発行を抑止

確認ポイント

• 鍵マーク表示の確認支援が主目的ではありません。
• URL 短縮やスパム回避とも無関係です。
• 不正なサーバ証明書の発行防止を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。ブラウザの鍵マークは主に「通信が暗号化されている」「証明書の形式が正しい」ことを示すだけで、そのサイトの中身や運営者が絶対安全とは限らないんだ。たとえるなら、封筒に鍵が掛かっていても、中身が詐欺の手紙かどうかまでは分からない、という感じだよ。

選択肢イ

これは不正解だよ。URL短縮は長いURLを短く見せる仕組みで、DNS CAAレコードの役割ではないんだ。たとえるなら、住所を短いあだ名で呼ぶようなもので、証明書を誰が発行していいかを管理する仕組みとは目的が違うよ。

選択肢ウ

これは不正解だよ。DNS CAAレコードは「このドメインの証明書を出していい認証局はここだけ」と指定する仕組みで、メールの迷惑判定とは別物なんだ。たとえるなら、店の看板を作っていい業者を指定する話で、郵便物が迷惑チラシ扱いされないようにする話ではないよ。

選択肢エ（正解）

これが正解だよ。DNS CAAレコードを使うと、「このドメインのサーバ証明書を発行してよい認証局」をDNSに書いておけるんだ。たとえるなら、家主が「合鍵を作っていい鍵屋さんはこの店だけ」と名簿に出しておくようなもの。認証局はその名簿を確認するので、許可されていないところから勝手に証明書が出るのを防ぎやすくなるよ。