応用情報技術者 2019年春期午前2 問40

問題文

DNSSECについての記述のうち、適切なものはどれか。

選択肢

ア：DNSサーバへの問合せ時の送信元ポート番号をランダムに選択することによって,DNS問合せへの不正な応答を防止する。

イ：DNSの再帰的な問合せの送信元として許可するクライアントを制限することによって,DNSを悪用したDoS攻撃を防止する。

ウ：共通鍵暗号方式によるメッセージ認証を用いることによって、正当なDNSサーバからの応答であることをクライアントが検証できる。

エ：公開鍵暗号方式によるディジタル署名を用いることによって、正当なDNSサーバからの応答であることをクライアントが検証できる。（正解）

DNSSECについての記述 +【午前2 解説】

要点まとめ

結論：DNSSECは公開鍵暗号方式のディジタル署名を用いてDNS応答の正当性を検証する技術です。
根拠：DNSの応答が改ざんされていないことを保証し、信頼性を高めるために公開鍵暗号を利用します。
差がつくポイント：DNSSECの特徴は「公開鍵暗号による署名検証」であり、単なるポート番号のランダム化や共通鍵暗号ではありません。

正解の理由

選択肢エは「公開鍵暗号方式によるディジタル署名を用いることによって、正当なDNSサーバからの応答であることをクライアントが検証できる」と述べています。これはDNSSECの本質であり、DNS応答の改ざん防止と正当性の保証を実現するための仕組みです。DNSSECは公開鍵暗号を使い、ゾーンデータに署名を付与し、クライアントは公開鍵で署名を検証します。

よくある誤解

DNSSECは単に通信の暗号化やポート番号のランダム化ではありません。共通鍵暗号方式ではなく、公開鍵暗号方式を用いる点が重要です。

解法ステップ

DNSSECの目的を理解する（DNS応答の改ざん防止と正当性検証）。
公開鍵暗号方式と共通鍵暗号方式の違いを確認する。
選択肢の内容がDNSSECの特徴に合致しているかを判断する。
ポート番号のランダム化やアクセス制限はDNSSECの機能ではないことを認識する。
正しい選択肢（エ）を選ぶ。

選択肢別の誤答解説

ア: ポート番号のランダム化はDNSキャッシュポイズニング対策の一部ですが、DNSSECの機能ではありません。
イ: 再帰的問合せの送信元制限はDoS攻撃対策の一つであり、DNSSECの説明とは異なります。
ウ: 共通鍵暗号方式はDNSSECで使われず、公開鍵暗号方式による署名検証が正しい方法です。
エ: 正解。公開鍵暗号方式のディジタル署名でDNS応答の正当性を検証します。

補足コラム

DNSSECはDNSの信頼性を向上させるために開発されました。DNSはインターネットの基盤技術ですが、従来は応答の改ざんや偽装が可能でした。DNSSECはゾーンデータに署名を付け、クライアントは公開鍵で検証することで、応答の真正性を保証します。これにより、フィッシングやキャッシュポイズニング攻撃のリスクを低減します。