プロジェクトマネージャ 2016年 午前2 問25
問題文
DNSSECの機能はどれか。
選択肢
ア：DNSキャッシュサーバの設定によって再帰的な問合せの受付範囲が最大になるようにする。
イ：DNSサーバから受け取るリソースレコードに対するディジタル署名を利用して、リソースレコードの送信者の正当性とデータの完全性を検証する。（正解）
ウ：ISPなどのセカンダリDNSサーバを利用してDNSコンテンツサーバを二重化することによって、名前解決の可用性を高める。
エ：共通鍵暗号技術とハッシュ関数を利用したセキュアな方法によって、DNS更新要求が許可されているエンドポイントを特定して認証する。
🔒 解説は解答すると表示されます
DNSSECの機能【午前2解説】
正解の理由
DNSSECは、DNSのリソースレコードにディジタル署名を付け、受信側で署名を検証する仕組みです。これにより、DNSデータが正当な情報源に由来することと、通信途中で改ざんされていないことを確認できます。
したがって、リソースレコードの送信元の正当性とデータの完全性を検証すると説明するイが適切です。
解法ステップ
- DNSSECの「SEC」は、DNSのデータを暗号技術で保護する仕組みだと捉えます。
- DNSSECが主に提供するのは、DNSデータの送信元の正当性確認と完全性確認です。
- 再帰問い合わせの制御、サーバの二重化、DNS更新要求の認証は別の機能です。
- 以上から、ディジタル署名による検証を述べたイを選びます。
選択肢別の誤答解説
- ア：再帰的な問い合わせをどこまで受け付けるかは、DNSサーバのアクセス制御や設定に関する内容です。DNSSECの機能ではありません。
- イ：リソースレコードに付与されたディジタル署名を検証し、データの正当性と完全性を確認します。DNSSECの説明です。
- ウ：セカンダリDNSサーバを設置して可用性を高めるのは、DNSサーバの冗長化です。DNSSECとは別の対策です。
- エ：共通鍵を使ってDNS更新要求を認証する仕組みは、主にTSIGによる動的DNS更新の保護を指します。DNSSECとは用途が異なります。
よくある誤解
- DNSSECでDNS通信が暗号化されると思いがちですが、DNSSECはデータの署名を検証する仕組みであり、通信内容を秘匿するものではありません。
- DNSサーバを冗長化する仕組みと混同しがちですが、DNSSECが提供するのは可用性ではなく、DNSデータの正当性・完全性の検証です。
- DNS更新要求の認証と混同しがちですが、動的DNS更新の認証にはTSIGなどが用いられます。
補足コラム
DNSSECでは、DNSデータの集合であるリソースレコードセット（RRset）に対する署名を検証します。検証ではDNSKEYやDSなどの情報をたどり、信頼できる起点から署名の正当性を確認します。
ただし、DNSSECは「正しい署名が付いたDNSデータ」であることを検証するもので、接続先のWebサイト自体が安全であることまでは保証しません。
FAQ
Q. DNSSECを導入すると、DNSの応答内容は暗号化されますか？
A. いいえ。DNSSECは署名の検証によってデータの正当性や完全性を確認します。通信内容の暗号化は別の仕組みです。
A. いいえ。DNSSECは署名の検証によってデータの正当性や完全性を確認します。通信内容の暗号化は別の仕組みです。
Q. DNSSECを導入すれば、DNSサーバの故障に強くなりますか？
A. DNSSEC自体は冗長化の仕組みではありません。可用性を高めるには、セカンダリDNSサーバの設置などが必要です。
A. DNSSEC自体は冗長化の仕組みではありません。可用性を高めるには、セカンダリDNSサーバの設置などが必要です。
Q. DNSSECとTSIGはどちらもDNSで使う認証技術ですか？
A. どちらもDNSに関係しますが、用途が異なります。DNSSECはDNSデータの署名検証、TSIGは主にDNSサーバ間の更新要求などの認証に使われます。
A. どちらもDNSに関係しますが、用途が異なります。DNSSECはDNSデータの署名検証、TSIGは主にDNSサーバ間の更新要求などの認証に使われます。
関連キーワード: DNSSEC、ディジタル署名、完全性、DNSKEY、DS、TSIG、動的DNS更新
\ せっかくなら /
プロジェクトマネージャを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！