令和6年度春期 情報処理安全確保支援士 午前Ⅱ 問15

午前II 問15：CAAレコードは「証明書を出していい認証局」を決める名簿だよ

CAAレコードは、そのドメインの証明書をどの認証局が発行してよいかをDNSで指定する仕組みだよ。たとえるなら、建物の受付に「この会社の入館証を発行していい窓口はここだけ」と伝えておくようなもの。勝手な認証局から証明書が出される誤発行や不正発行を防ぎやすくするために使われるんだ。

この問題で問われていること

CAAはHTTPSの鍵マークを表示する仕組みでも、URLを短くする仕組みでもないよ。ポイントは「証明書を発行してよい認証局を制限するDNSレコード」と覚えよう。

CAA

ドメイン所有者が許可した CA だけに発行を限定する。

許可CA指定\n-> 不正発行抑止

確認ポイント

• 鍵マーク表示そのものを保証する仕組みではありません。
• スパム誤検知防止とも無関係です。
• 不正なサーバ証明書発行の防止を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。ブラウザの鍵マークは『通信が暗号化されていて、証明書の確認が通った』という目印だけど、それだけでサイトの中身まで安全とは言い切れないんだ。鍵付きの店でも、店員が悪質なら危ないことがある、というイメージだよ。CAAの効果も、利用者が鍵マークで安全確認することではないよ。

選択肢イ

これは不正解だよ。URL短縮は、長い住所を短いあだ名にするようなものだけど、DNS CAAはURLを短くする仕組みではないんだ。CAAはWebサイトの住所入力ミスを防ぐのではなく、証明書を発行できる認証局を制限するためのものだよ。

選択肢ウ

これは不正解だよ。スパムメール判定は、メールの送信元認証や本文の怪しさなどを見る話で、DNS CAAの役目ではないんだ。CAAは『このドメインの証明書を発行していい認証局はここだけ』と看板を出す仕組みで、郵便受けの迷惑チラシ判定とは別物だよ。

選択肢エ（正解）

これは正解だよ。DNS CAAは、ドメインの持ち主が『うちの合鍵を作っていい鍵屋さんはこの会社だけ』と指定する仕組みなんだ。認証局は証明書を発行する前にそれを確認するので、許可されていない認証局から勝手にサーバ証明書が発行されるリスクを減らせるよ。