システム監査技術者 2016年午前2 問21

問題文

DNSSECの機能はどれか。

🖊️ 解答を隠して解いてみる

ア：DNSキャッシュサーバの設定によって再帰的な問合せの受付範囲が最大になるようにする。

イ：DNSサーバから受け取るリソースレコードに対するディジタル署名を利用して、リソースレコードの送信者の正当性とデータの完全性を検証する。（正解）

ウ：ISPなどのセカンダリDNSサーバを利用してDNSコンテンツサーバを二重化することによって、名前解決の可用性を高める。

エ：共通鍵暗号技術とハッシュ関数を利用したセキュアな方法によって、DNS更新要求が許可されているエンドポイントを特定して認証する。

🔒 解説は解答すると表示されます

DNSSECは、DNSのリソースレコードにディジタル署名を付け、受け取った情報が正当なものであり、途中で改ざんされていないことを検証する仕組みです。

したがって、リソースレコードの署名を使って送信元の正当性とデータの完全性を確認するイが適切です。署名の検証には、DNSKEYやDSなどを使った信頼の連鎖が用いられます。

ア：再帰的な問合せの受付範囲を設定する機能ではありません。受付範囲の設定を誤ると、意図しない利用者にも再帰問い合わせを許す「オープンリゾルバ」につながるおそれがあります。
イ：DNSSECの機能です。DNSリソースレコードのディジタル署名を検証し、情報の正当性と完全性を確認します。
ウ：セカンダリDNSサーバによる二重化は、DNSの可用性を高めるための構成です。DNSSECの署名検証とは異なります。
エ：DNS更新要求の認証に関する説明です。DNSSECではなく、TSIGなどを用いる仕組みに該当します。

DNSSECを通信の暗号化と混同する
DNSSECは署名の検証によって正当性や完全性を確認しますが、DNSの通信内容を暗号化する仕組みではありません。
DNSサーバの二重化もDNSSECの機能だと考える
二重化は可用性を高める構成であり、DNSSECの署名検証とは目的が異なります。
DNS更新要求の認証と、DNS応答の検証を混同する
DNSSECは主にDNSデータの検証に関する仕組みです。更新要求の認証には、TSIGなど別の仕組みが用いられます。

DNSSECでは、DNSレコード群（RRset）に対する署名を検証します。署名が正しくても、その鍵を信頼できるか確認する必要があるため、ルートから対象のDNSゾーンまで信頼をたどる仕組みが重要です。

また、DNSSECだけでは通信の盗聴を防げません。DNS通信の暗号化が必要な場合は、DNS over TLS（DoT）やDNS over HTTPS（DoH）など、別の仕組みを利用します。

Q. DNSSECを導入するとDNS通信は暗号化されますか？
A. いいえ。DNSSECはデータの正当性や完全性を検証するもので、通信の暗号化は行いません。

Q. DNSSECはDNSサーバの障害対策ですか？
A. いいえ。DNSサーバの二重化は可用性向上のための対策です。DNSSECの主な目的は、DNSデータの改ざんや偽装を検知することです。

関連キーワード: DNSSEC、ディジタル署名、リソースレコード、完全性、DNSKEY、DS、TSIG、DNS over TLS

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！