プロジェクトマネージャ 2019年 午前2 問25
問題文
DNSSECの機能はどれか。
選択肢
ア：DNSキャッシュサーバの設定によって、再帰的な問合せを受け付ける送信元の範囲が最大になるようにする。
イ：DNSサーバから受け取るリソースレコードに対するディジタル署名を利用して、リソースレコードの送信者の正当性とデータの完全性を検証する。（正解）
ウ：ISPなどに設置されたセカンダリDNSサーバを利用してDNSコンテンツサーバを二重化することによって、名前解決の可用性を高める。
エ：共通鍵暗号技術とハッシュ関数を利用したセキュアな方法によって、DNS更新要求が許可されているエンドポイントを特定して認証する。
🔒 解説は解答すると表示されます
DNSSECの機能【午前2解説】
正解の理由
DNSSECは、DNSのリソースレコードにディジタル署名を付け、受信側がその署名を検証することで、DNSデータの正当性と完全性を確認する仕組みです。
したがって、リソースレコードの送信元が正当か、また、問い合わせの途中でデータが改ざんされていないかを検証するというイが正解です。
解法ステップ
- DNSSECの「SEC」はセキュリティを指しますが、具体的に何を守る仕組みかを確認します。
- DNSSECの中心的な機能は、DNSデータに対するディジタル署名の検証です。
- 選択肢のうち、リソースレコードの正当性と完全性を署名で検証すると説明しているものを選びます。
選択肢別の誤答解説
- ア：再帰的な問合せを受け付ける送信元を制限する設定です。DNSサーバのアクセス制御に関する内容であり、DNSSECの機能ではありません。
- イ：DNSリソースレコードのディジタル署名を検証し、データの正当性と完全性を確認する機能です。
- ウ：セカンダリDNSサーバを設置して可用性を高める構成です。DNSサーバの冗長化に関する内容です。
- エ：共通鍵とハッシュ関数を使ってDNS更新要求を認証する方式です。主にTSIGなどによる動的更新の認証に関する内容で、DNSSECとは異なります。
よくある誤解
- DNSSECはDNS通信を暗号化する仕組みではありません。 DNSデータの正当性や改ざんの有無を検証します。
- DNSサーバを冗長化する仕組みではありません。 可用性の向上は、セカンダリDNSサーバなどで実現します。
- DNS更新要求の認証と混同しないようにしましょう。 共通鍵を用いた更新要求の認証は、DNSSECの署名検証とは別の機能です。
補足コラム
DNSSECでは、リソースレコードに対する署名を含むRRSIGレコードなどを利用します。上位ゾーンから下位ゾーンへ署名の信頼をつなぐことで、DNSデータが正規の管理者によって署名されたものかを確認できます。
ただし、DNSSECだけでは通信内容の秘匿や、DNSサーバとの通信経路の暗号化は実現しません。
FAQ
DNSSECを導入すると、DNSの問合せ内容は暗号化されますか？
いいえ。DNSSECは署名によってDNSデータの正当性や完全性を検証する仕組みであり、問合せ内容を暗号化するものではありません。
いいえ。DNSSECは署名によってDNSデータの正当性や完全性を検証する仕組みであり、問合せ内容を暗号化するものではありません。
DNSSECとTSIGの違いは何ですか？
DNSSECは、DNSデータの署名を検証する仕組みです。一方、TSIGは、共有した秘密鍵を用いてDNSメッセージ、特にDNS更新要求などを認証するために使われます。
DNSSECは、DNSデータの署名を検証する仕組みです。一方、TSIGは、共有した秘密鍵を用いてDNSメッセージ、特にDNS更新要求などを認証するために使われます。
関連キーワード: DNSSEC、ディジタル署名、リソースレコード、完全性、RRSIG、TSIG
\ せっかくなら /
プロジェクトマネージャを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！