令和5年度秋期 情報処理安全確保支援士 午前Ⅱ 問13

午前II 問13：DNSSECは“暗号化”じゃなくて“署名チェック”だよ

DNSSECは、DNSの通信内容を見えなくする仕組みではないよ。たとえるなら、荷物を鍵付き箱に入れるのではなく、「この荷物は本物の送り主から来ていて、途中で中身をすり替えられていないよ」と確認するための印鑑やサインを付けるイメージだよ。DNSSECではディジタル署名を検証して、DNS応答の完全性と正当性を確認するんだ。

この問題で問われていること

この問題では、DNSSECを「通信を暗号化して秘密にする仕組み」と勘違いしていないかがポイントだよ。DNSSECの本質は、リゾルバ側が署名を検証して、DNS応答が改ざんされていないか、正しい権威から来たものかを確かめる仕組みとして理解しよう。

DNSSEC の役割分担

権威 DNS サーバが署名付きレコードを返し、リゾルバが署名を検証する。

権威 DNS: 署名付き応答\nリゾルバ: 署名検証\n-> 完全性確認

確認ポイント

• DNSSEC は盗聴防止のために暗号化する仕組みではありません。
• 権威 DNS サーバが受信時に検証する説明ではありません。
• リゾルバが署名を検証する説明を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これも間違いだよ。権威DNSサーバはDNSの情報を持っている本店の窓口みたいなものだけど、DNSSECでは返事の中身を暗号化して盗み見を防ぐわけではないんだ。DNSSECが守るのは「返事が本物か」「途中で書き換えられていないか」であって、「見られないこと」ではないよ。

選択肢イ

これは間違いだよ。権威DNSサーバは、情報に署名を付けて渡す側であって、受け取った情報の署名を確認する側ではないんだ。たとえるなら、市役所が証明書にハンコを押す役で、窓口に来た人がそのハンコを見て本物か確認する役だよ。確認するのは主にリゾルバ側だよ。

選択肢ウ

これは間違いだよ。DNSSECは、DNSの返事を暗号化して中身を隠す仕組みではないんだ。たとえるなら、手紙を封筒で隠すのではなく、「この手紙は本物です」というハンコを押して確認できるようにする仕組みだよ。リゾルバがリソースレコードを公開鍵暗号で暗号化して盗聴を防ぐ、という説明はDNSSECの目的と違うよ。

選択肢エ（正解）

これは正解だよ。DNSSECでは、リゾルバがDNSの返事を受け取ったときにデジタル署名を確認して、「この情報は本物の発行元から来たものか」「途中で泥棒に書き換えられていないか」を確かめるんだ。たとえるなら、荷物を受け取った人が封印やサインを見て、本物で開けられていないことを確認する感じだよ。