応用情報技術者 2023年秋期午前2 問45

問題文

DNSSECについての記述のうち、適切なものはどれか。

選択肢

ア：DNSサーバへの問合せ時の送信元ポート番号をランダムに選択することによって、 DNS問合せへの不正な応答を防止する。

イ：DNSの再帰的な問合せの送信元として許可するクライアントを制限することによって、 DNSを悪用した DoS 攻撃を防止する。

ウ：共通鍵暗号方式によるメッセージ認証を用いることによって、正当な DNSサーバからの応答であることをクライアントが検証できる。

エ：公開鍵暗号方式によるデジタル署名を用いることによって、正当な DNSサーバからの応答であることをクライアントが検証できる。（正解）

DNSSECについての記述 +【午前2 解説】

要点まとめ

結論：DNSSECは公開鍵暗号方式のデジタル署名を用いてDNS応答の正当性を検証する技術です。
根拠：DNSSECはDNSの応答にデジタル署名を付加し、改ざんやなりすましを防止します。
差がつくポイント：DNSSECとDNSの基本的なセキュリティ対策（ポートランダム化やアクセス制限）との違いを理解することが重要です。

正解の理由

選択肢エは「公開鍵暗号方式によるデジタル署名を用いることによって、正当なDNSサーバからの応答であることをクライアントが検証できる」と述べています。これはDNSSECの本質であり、DNS応答の信頼性を保証するために公開鍵暗号を使った署名検証を行う仕組みです。したがって正解です。

よくある誤解

DNSSECは単なるポート番号のランダム化やアクセス制限ではありません。これらはDNSの基本的なセキュリティ対策であり、DNSSECの機能とは異なります。

解法ステップ

DNSSECの目的を確認する（DNS応答の改ざん防止と正当性検証）。
選択肢の技術的特徴を整理する（ポートランダム化、アクセス制限、共通鍵暗号、公開鍵暗号）。
DNSSECが公開鍵暗号を使うことを知っているか確認する。
公開鍵暗号によるデジタル署名がDNSSECの特徴であることから正解を選ぶ。

選択肢別の誤答解説

ア：送信元ポート番号のランダム化はDNSの基本的なセキュリティ対策であり、DNSSECの機能ではありません。
イ：再帰的問合せの送信元制限はDoS攻撃対策の一つですが、DNSSECの説明としては不適切です。
ウ：共通鍵暗号方式はDNSSECでは使われず、公開鍵暗号方式が用いられます。
エ：公開鍵暗号方式によるデジタル署名で応答の正当性を検証できるため正解です。

補足コラム

DNSSEC（Domain Name System Security Extensions）はDNSのセキュリティを強化するための拡張仕様です。DNSの応答にデジタル署名を付加し、名前解決の過程でデータの改ざんやなりすましを防止します。公開鍵暗号方式を用いるため、クライアントは公開鍵を使って署名を検証し、応答の信頼性を確認できます。