令和4年度春期 情報処理安全確保支援士 午前Ⅱ 問13

DNSSECはDNS応答の“本物チェック”をする仕組みだよ

DNSSECは、DNSの返事に付いているディジタル署名を確認して、「このリソースレコードはちゃんと権威DNSサーバから来たもので、途中で書き換えられていないよね？」とチェックする仕組みだよ。たとえるなら、荷物に付いた封印やサインを見て、本当に正しい送り主から届いたか確認するイメージだね。

この問題で問われていること

この問題では、DNSSECの役割を正しくつかめているかがポイントだよ。DNSSECは通信内容を暗号化するものでも、偽サイトへ誘導されたこと自体を直接検知するものでもなく、DNS応答が本物で改ざんされていないかをディジタル署名で検証する仕組みだと押さえよう。

DNSSEC の役割

名前解決の結果に署名を付けておき、受け取った側がその正当性を確認する。

DNS 応答 + 署名\n-> 改ざん有無を検証

確認ポイント

• 権威 DNS とキャッシュ DNS 間通信の暗号化ではありません。
• ホモグラフ攻撃防止でもない。
• 改ざんされていないことの検証を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。DNSSECは、DNSキャッシュサーバが受け取った住所案内の返事について、「本当に正規の窓口が出した案内か」「途中で書き換えられていないか」を電子署名で確認する仕組みなんだ。お店の場所を聞いたとき、途中の誰かが偽の地図にすり替えていないかを確認する感じだよ。

選択肢イ

これは不正解だよ。DNSSECは、DNSの返事に「本物の印鑑」が押されているかを確認する仕組みで、通信そのものを暗号化して中身を見えなくする仕組みではないんだ。手紙に封をして隠すのではなく、差出人のハンコが本物か確認するイメージだよ。

選択肢ウ

これは不正解だよ。似た文字を使って本物っぽいドメイン名に見せる攻撃は、見た目をだます手口なんだ。DNSSECは「そのドメインのDNS情報が改ざんされていないか」は確認できるけど、「そもそも名前が紛らわしいか」までは防げないよ。偽物の店名が本物そっくりでも、看板の文字の紛らわしさをDNSSECが判定するわけではないんだ。

選択肢エ

これは不正解だよ。URLの打ち間違いを狙って偽サイトへ誘導する攻撃は、利用者が別の住所を入力してしまう問題なんだ。DNSSECは入力されたドメインのDNS応答が本物かを確認するだけで、「その入力は打ち間違いかも」と検知する仕組みではないよ。タクシーに間違った住所を伝えたら、その住所自体が正規に存在していても目的地とは違う、という感じだね。