基本情報技術者 2015年 春期 午後 問04
ホスト名の衝突に関する次の記述を読んで、設問1，2に答えよ。
DNS（Domain Name System）は、ルートサーバを頂点とする多数のDNSサーバから成る階層的な分散型データベースシステムであり、ホスト名とIPアドレスの変換に使用される。
A社は、一般に通用している自社ドメイン“example.co.jp”の他に、正式なTLD（最上位のドメイン）として運用されていない“corp”を、自社のネットワークだけで通用する独自のTLDとして使っている。自社ネットワークに設置しているDNSサーバで、これら二つのドメインのホスト名とIPアドレスの対応を管理している。
A社のDNSサーバで管理しているホスト名を、表1に示す。
ホスト名に対応するIPアドレスを知りたいアプリケーションは、DNSリゾルバ（各端末で動作し、DNSサーバにIPアドレスの問合せを行うプログラム）に、ホスト名に対応するIPアドレスを問い合わせる。問合せを受けたDNSリゾルバは、A社のDNSサーバに問い合わせる。
問合せを受けたDNSサーバは、問い合わせられたホスト名が自分で管理しているホスト名であれば対応するIPアドレスを返す。そうでなければ外部のDNSサーバに問い合わせ、その結果として得られたIPアドレス、又は見つからなかったことを示すエラーのいずれかを返す（図1）。
A社では、ドメイン名を補完できるように、各端末のDNSリゾルバの設定で、A社のドメイン“example.co.jp”をサーチリストに登録することを指示している。このため、DNSリゾルバに問合せを行うアプリケーションは、ドメイン名“example.co.jp”を省略しても、ホスト名に対応するIPアドレスを得ることができる。
例えば、ホスト名“www.bunkyo.example.co.jp”のIPアドレスを知りたいときは、ホスト名“www.bunkyo”で問い合わせれば、ホスト名“www.bunkyo.example.co.jp”のIPアドレスが、次のようにして得られる（図2）。ここで、“bunkyo”というTLDは存在しないものとする。
① アプリケーションが、DNSリゾルバにホスト名“www.bunkyo”のIPアドレスを問い合わせる。
② DNSリゾルバは、A社のDNSサーバにホスト名“www.bunkyo”のIPアドレスを問い合わせる。
③ ホスト名“www.bunkyo”に対応するIPアドレスが見つからないので、A社のDNSサーバは、エラーをDNSリゾルバに返す。
④ エラーを受け取ったDNSリゾルバは、ホスト名“www.bunkyo”に、サーチリストに登録されたドメイン“example.co.jp”を連結したホスト名“www.bunkyo.example.co.jp”のIPアドレスをA社のDNSサーバに問い合わせる。
⑤ A社のDNSサーバは、“www.bunkyo.example.co.jp”のIPアドレスをDNSリゾルバに返す。
⑥ DNSリゾルバは、A社のDNSサーバから返された“www.bunkyo.example.co.jp”のIPアドレスをアプリケーションに返す。
近年、多数の正式なTLDが追加されていて、これまでになかった新しいTLDが運用されることによって、名前が衝突するリスクが高まっている。
例えば、新しい正式なTLDとして、“bunkyo”が追加され、インターネット上でホスト名“www.bunkyo”のWebサーバの運用が開始されたとき、A社内の端末のDNSリゾルバに、ホスト名“www.bunkyo”を問い合わせると、aが返される。
また、新しく正式なTLDとして、“corp”が追加され、インターネット上でホスト名“www.corp”のWebサーバの運用が開始されたとき、A社内の端末のDNSリゾルバを使ってもbのIPアドレスを得ることができない。
名前の衝突が起こることによって、本来アクセスしたいサーバにアクセスできないだけではなく、cことによる情報漏えいなど、セキュリティ上のリスクが発生する。
設問1：
問題文を見る 本文中のに入れる適切な答えを、解答群の中から選べ。
aに関する解答群
ア：A社内のホスト“www.bunkyo.example.co.jp”のIPアドレス
イ：A社のDNSサーバのIPアドレス
ウ：インターネット上のWebサーバ“www.bunkyo”のIPアドレス
エ：見つからなかったことを示すエラー
bに関する解答群
ア：“www.corp”で始まるTLDが“corp”以外のホスト
イ：A社内のホスト“www.corp”
ウ：A社内のホスト“www.corp”、及びインターネット上のWebサーバ“www.corp”
エ：インターネット上のWebサーバ“www.corp”
cに関する解答群
ア：ウイルスが混入した電子メールを受信する
イ：外部サーバに意図せずアクセスする
ウ：組織内の人間が機密情報を意図的に流出させる
エ：ファイアウォールで守られたネットワークへの侵入を許す
模範解答
a：ウ、b：エ、c：イ
解説
解答の導き方
この問題では、端末のDNSリゾルバがホスト名をどのように調べるかを考えます。
DNS（Domain Name System：ドメイン名とIPアドレスを対応付ける仕組み）では、DNSリゾルバ（端末からDNSサーバへホスト名を問い合わせるプログラム）が、知りたいホスト名をDNSサーバに問い合わせます。IPアドレスは、ネットワーク上の機器を識別する番号です。
また、TLD（Top-Level Domain：ドメイン名の末尾にある最上位の区分）は、“example.co.jp”なら“jp”に当たります。サーチリストは、短いホスト名で問い合わせて見つからなかったときに、補うドメイン名の一覧です。A社では“example.co.jp”を登録しています。
図2の例では、まず“www.bunkyo”を問い合わせます。ここでは“bunkyo”というTLDが存在しないため、見つからずエラーになります。その後、サーチリストの“example.co.jp”を付けて“www.bunkyo.example.co.jp”を問い合わせ、IPアドレスを得ています。
aについて
今度は、正式なTLDとして“bunkyo”が追加され、“www.bunkyo”のWebサーバがインターネット上で運用されています。この場合、“www.bunkyo”はインターネット上で解決できる名前です。
A社のDNSサーバが自分で管理しているホスト名でなければ、外部のDNSサーバに問い合わせます。そこで“www.bunkyo”が見つかるため、DNSリゾルバにはインターネット上のWebサーバ“www.bunkyo”のIPアドレスが返されます。検索に失敗していないので、“example.co.jp”を付けた名前を改めて問い合わせることにはなりません。
bについて
表1には、A社のDNSサーバが管理するホスト名として“www.corp”があります。新たに正式なTLDとして“corp”が追加され、インターネット上にも“www.corp”のWebサーバができたとしても、問い合わせる名前はどちらも“www.corp”です。
A社のDNSサーバは、管理しているホスト名への問い合わせには、自分が管理するIPアドレスを返します。そのため、A社内のホスト“www.corp”のIPアドレスは得られますが、インターネット上のWebサーバ“www.corp”のIPアドレスは得られません。名前が同じため、問い合わせ先を区別できないからです。
cについて
同じホスト名が、利用者の意図とは異なるサーバを指すことがあります。その結果、本来アクセスするつもりのなかった外部サーバに接続してしまう可能性があります。外部サーバに情報を送ることにもつながり得るため、「外部サーバに意図せずアクセスする」ことが、情報漏えいなどのセキュリティ上のリスクになります。
誤りやすいポイント
- サーチリストは、問い合わせのたびに必ずドメイン名を追加する機能ではありません。本文の例のように、最初の問い合わせで見つからなかった後に、ドメイン名を補って再度問い合わせます。
- “www.bunkyo”と“www.bunkyo.example.co.jp”は別のホスト名です。“bunkyo”が正式なTLDとして使われる場合、“www.bunkyo”の問い合わせがインターネット上で解決する可能性があります。
- “www.corp”のように同じ名前を社内とインターネット上の両方で使うと、利用者がどちらのサーバを意図しているかを名前だけでは区別できません。
- cは、ウイルスメールや社内の人による情報流出を直接問うものではありません。名前の衝突によって、意図しない外部サーバへ接続することがポイントです。
FAQ
Q: サーチリストに“example.co.jp”があれば、いつも“www.bunkyo.example.co.jp”に接続しますか？
A: いいえ。まず“www.bunkyo”を問い合わせ、そこで見つかればそのIPアドレスを使います。見つからなかった場合に、サーチリストのドメイン名を付けて再度問い合わせます。
A: いいえ。まず“www.bunkyo”を問い合わせ、そこで見つかればそのIPアドレスを使います。見つからなかった場合に、サーチリストのドメイン名を付けて再度問い合わせます。
Q: 同じ“www.corp”に、社内とインターネット上の両方のIPアドレスを登録して使い分けられますか？
A: この問題の状況では、問い合わせる側が名前だけでどちらを希望しているかを伝えられません。A社のDNSサーバが管理する“www.corp”への問い合わせには、まず社内のホストのIPアドレスが返されます。
A: この問題の状況では、問い合わせる側が名前だけでどちらを希望しているかを伝えられません。A社のDNSサーバが管理する“www.corp”への問い合わせには、まず社内のホストのIPアドレスが返されます。
Q: 名前の衝突が情報漏えいにつながるのはなぜですか？
A: 名前の解決先が意図したサーバと異なると、アプリケーションが意図しない外部サーバに接続することがあります。その際に情報を送ってしまうと、漏えいにつながる可能性があります。
A: 名前の解決先が意図したサーバと異なると、アプリケーションが意図しない外部サーバに接続することがあります。その際に情報を送ってしまうと、漏えいにつながる可能性があります。
関連キーワード: DNS、DNSリゾルバ、TLD、サーチリスト、名前衝突、IPアドレス
設問2：
問題文を見る 新たなTLDが追加されることによって生じる、名前が衝突するリスクを低減させる対策として適切でない答えを、解答群の中から選べ。
解答群
ア：各組織独自のTLDの利用を停止する。
イ：各組織は、自組織のDNSサーバと外部のDNSサーバとの通信を遮断する。
ウ：各端末でサーチリストの利用をやめる。
模範解答
イ
解説
解答の導き方
-
まず、名前の衝突が起きる仕組みを整理します。DNS（Domain Name System：ドメイン名とIPアドレスを対応付ける仕組み）は、ホスト名からIPアドレス（Internet Protocol address：ネットワーク上の機器を識別する番号）を調べます。TLD（Top-Level Domain：ドメイン名の最上位の部分）が新しく使われると、これまで社内だけで使っていた名前と、インターネット上の名前が重なることがあります。
-
本文では、端末のDNSリゾルバ（端末からDNSサーバへ名前の問合せを送るプログラム）に「example.co.jp」をサーチリストとして登録すると説明されています。そのため、短い名前で問合せて見つからなかった場合、DNSリゾルバは「example.co.jp」を付けた名前でも問合せます。
-
選択肢を確認します。
- アのように各組織が独自のTLDの利用をやめれば、社内だけで使う名前と、新たに追加された正式なTLDの名前が重なる問題を避けられます。
- ウのようにサーチリストを使わなければ、短い名前にドメイン名が自動で付け足されることがなくなります。利用者が目的のドメイン名まで含めて指定する運用にすれば、名前の取り違えを避けやすくなります。
- 一方、イのように自組織のDNSサーバと外部のDNSサーバとの通信を遮断すると、自社のDNSサーバで管理していないインターネット上の名前を調べられなくなります。名前の衝突を解消するのではなく、外部の名前解決全般を止めてしまう方法です。業務に必要な外部のWebサイトなどにもつながらなくなるため、衝突リスクを低減する対策として適切ではありません。
このため、適切でない選択肢はイです。
誤りやすいポイント
- 「外部との通信を遮断すれば安全」と考えないようにします。衝突による誤接続を防げる場合があっても、外部のホスト名を調べられなくなるなど、広い範囲に影響します。
- サーチリストは、短い名前にドメイン名を自動で補う設定です。DNSサーバに登録された名前そのものを変更する機能ではありません。
- 「www.corp」のようにA社のDNSサーバが管理している名前は、外部のDNSサーバに問合せる前に、A社のDNSサーバから社内のIPアドレスが返ります。そのため、新しい正式なTLDとして「corp」が使われても、外部の「www.corp」のIPアドレスを得られない場合があります。
FAQ
Q: サーチリストとは何ですか？
A: 短いホスト名で問合せて見つからなかったときに、あらかじめ登録したドメイン名を付けて、もう一度問合せるための設定です。
A: 短いホスト名で問合せて見つからなかったときに、あらかじめ登録したドメイン名を付けて、もう一度問合せるための設定です。
Q: なぜ「www.bunkyo」と「www.corp」では結果が違うのですか？
A: A社のDNSサーバは「www.corp」を管理していますが、「www.bunkyo」は管理していません。管理している名前には社内のIPアドレスを返し、管理していない名前は外部のDNSサーバに問合せます。
A: A社のDNSサーバは「www.corp」を管理していますが、「www.bunkyo」は管理していません。管理している名前には社内のIPアドレスを返し、管理していない名前は外部のDNSサーバに問合せます。
Q: 外部のDNSサーバとの通信を止めれば、衝突はなくなりますか？
A: 外部から回答を得られなくなるため、誤った外部サーバにつながらない場合はあります。しかし、外部の名前解決全般ができなくなり、社内で使う名前と外部で使う名前の重なり自体も解消しません。
A: 外部から回答を得られなくなるため、誤った外部サーバにつながらない場合はあります。しかし、外部の名前解決全般ができなくなり、社内で使う名前と外部で使う名前の重なり自体も解消しません。
関連キーワード: DNS、DNSリゾルバ、TLD、サーチリスト、名前解決
