ホーム > 情報処理安全確保支援士試験 > 2022年 春期
情報処理安全確保支援士試験 2022年 春期 午前2 問13
DNSSECで実現できることはどれか。
ア：DNSキャッシュサーバが得た応答中のリソースレコードが権威DNSサーバで管理されているものであり改ざんされていないことの検証（正解）
イ：権威DNSサーバとDNSキャッシュサーバとの通信を暗号化することによるゾーン情報の漏えいの防止
ウ：長音“ー”と漢数字“一”などの似た文字をドメイン名に用いて正規サイトのように見せかける攻撃の防止
エ：利用者のURLの入力誤りを悪用して偽サイトに誘導する攻撃の検知
解説
DNSSEC（Domain Name System Security Extensions）は、DNSのセキュリティ強化のための拡張機能です。DNS自体はインターネットのドメイン名解決を行う非常に重要なサービスですが、その通信は基本的に暗号化されておらず、第三者による改ざんやなりすましのリスクがありました。DNSSECはこの問題に対処します。
DNSSECでできること
DNSSECの主な役割は、DNSの応答データが信頼できるものであること、すなわち改ざんされていないことを検証する点にあります。具体的には以下のような仕組みで実現しています。
- 権威DNSサーバ側でDNSレコードに対してデジタル署名を行う
- レコードを受け取ったDNSキャッシュサーバは、その署名の正当性を公開鍵暗号方式で検証
- これにより、受け取ったDNSの応答データが「本当に権威DNSサーバからの正しいデータであり、途中で改ざんされていない」ことを保証
つまり、「選択肢ア」の
DNSキャッシュサーバが得た応答中のリソースレコードが権威DNSサーバで管理されているものであり改ざんされていないことの検証
がDNSSECで実現できることの正しい説明です。
他の選択肢について
-
イ: 「権威DNSサーバとDNSキャッシュサーバ間の通信を暗号化し、ゾーン情報の漏えいを防ぐ」という内容はDNSSECの対象外です。DNSSECはデータの改ざん検証に重点を置きますが、通信路の暗号化自体はDNS over TLS（DoT）やDNS over HTTPS（DoH）など別の技術が担います。
-
ウ: 見た目が似ている文字を使って偽サイトに見せかける攻撃は「IDNホモグラフ攻撃」などと呼ばれますが、これもDNSSECの範囲外であり、別途ブラウザやセキュリティソフトの対応が必要です。
-
エ: 利用者のURL入力誤りを悪用する攻撃の検知についてもDNSSECは直接関与せず、フィッシング詐欺対策やブラウザのブロック機能が中心になります。
まとめ
DNSSECは、「DNSの応答における改ざん検知と正当性の検証」を可能にする技術であり、ネットワークにおける信頼性向上に大きく寄与しています。そのため、今回の問題の正解は「ア」となります。