エンベデッドシステムスペシャリスト 2025年午前2 問16

問題文

DNSキャッシュサーバAと権威DNSサーバCにDNSSECを導入した。PCがDNSキャッシュサーバAを用いてWebサーバBの名前解決を行うとき、DNSキャッシュサーバAが、WebサーバBのドメインを管理している権威DNSサーバCに問い合わせた。そのDNS問合せ後、PCがWebサーバBにアクセスするまでのDNSキャッシュサーバA、PC、及び権威DNSサーバCの動作に関する記述のうち、適切なものはどれか。

🖊️ 解答を隠して解いてみる

選択肢

ア：DNSキャッシュサーバAではDNS応答にデジタル署名を付加し、PCではDNSの公開鍵（DNS鍵）を用いてDNS応答について真正性と完全性を検証する。

イ：DNSキャッシュサーバAではDNS応答を暗号化し、PCではDNS鍵を用いてDNS応答について真正性と完全性を検証する。

ウ：権威DNSサーバCではDNS応答にデジタル署名を付加し、DNSキャッシュサーバAではDNS鍵を用いてDNS応答について真正性と完全性を検証する。（正解）

エ：権威DNSサーバCではDNS応答を暗号化し、DNSキャッシュサーバAではDNS鍵を用いてDNS応答について真正性と完全性を検証する。

🔒 解説は解答すると表示されます

DNSSECの検証動作【午前2解説】

正解の理由

適切なのはウです。

DNSSECでは、権威DNSサーバCが管理するDNSデータにデジタル署名を付けます。DNSキャッシュサーバAは、その署名とDNS鍵などを使って、受け取ったDNS情報が正しい権威サーバに由来し、通信中に改ざんされていないことを検証します。

この検証によって確認できるのは、DNS応答の真正性と完全性です。DNSSECは応答内容を暗号化する仕組みではありません。また、この問題では検証を行うのはPCではなくDNSキャッシュサーバAです。

解法ステップ

DNSSECが何を実現する仕組みかを確認します。
DNSSECはDNS情報にデジタル署名を付け、情報の真正性と完全性を検証する仕組みです。
DNS応答を暗号化する選択肢を除外します。
DNSSECは通信内容の秘匿を目的としていないため、応答の暗号化を説明する選択肢は誤りです。
署名を付ける側と検証する側を確認します。
DNSデータに署名するのは権威DNSサーバ側で、DNSキャッシュサーバAがその署名を検証します。
これらの条件に合うウを選びます。

選択肢別の誤答解説

ア：DNSキャッシュサーバAが応答に署名し、PCが検証するという説明です。DNSデータへの署名は権威DNSサーバ側で行われ、検証はこの問題の構成ではDNSキャッシュサーバAが行います。
イ：DNSキャッシュサーバAが応答を暗号化するという説明が誤りです。DNSSECは暗号化ではなく、署名による真正性・完全性の検証を行います。また、検証主体もPCではありません。
ウ：権威DNSサーバCがDNS応答に署名を付け、DNSキャッシュサーバAがDNS鍵を使って検証する説明です。DNSSECの役割に合っています。
エ：権威DNSサーバCがDNS応答を暗号化するという説明が誤りです。DNSSECが提供するのは暗号化ではなく、署名に基づく検証です。

よくある誤解

デジタル署名は暗号化と同じと思い込むことがあります。署名は改ざんや送信元の確認に用いられ、内容を読めなくするものではありません。
DNSSECを導入すると、DNSの通信内容が秘密になると誤解しがちです。通信の秘匿性はDNSSECの目的ではありません。
DNSSECの検証を、常に利用者のPCが行うと思い込むことがあります。問題のような構成では、DNSキャッシュサーバが検証します。

補足コラム

DNSSECでは、DNSデータに付けられた署名を検証するために、公開鍵を含むDNSKEYや、親ゾーンから子ゾーンへの信頼をつなぐ情報などが使われます。これにより、信頼できる起点から対象のDNS情報まで、署名の正当性をたどって確認します。

一方、DNS応答そのものを暗号化して盗み見を防ぎたい場合は、DNS over TLS（DoT）やDNS over HTTPS（DoH）など、別の仕組みが用いられます。

FAQ

Q. DNSSECでDNS応答の内容を隠せますか？
A. いいえ。DNSSECは応答の真正性と完全性を検証する仕組みであり、内容の暗号化は行いません。

Q. この問題では、誰が署名を検証しますか？
A. DNSキャッシュサーバAです。権威DNSサーバCが管理するDNSデータに付けられた署名を検証します。

関連キーワード: DNSSEC、デジタル署名、DNSKEY、権威DNSサーバ、DNSキャッシュサーバ、真正性、完全性、DNS over HTTPS

← 前の問題へこの年度をクイズで解く次の問題へ →

\ せっかくなら /

エンベデッドシステムスペシャリストを
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！