システム監査技術者 2022年午前2 問22

問題文

DNSSECに関する記述として、適切なものはどれか。

🖊️ 解答を隠して解いてみる

ア：DNSサーバへのDoS攻撃を防止できる。

イ：IPsecによる暗号化通信が前提となっている。

ウ：代表的なDNSサーバの実装であるBINDの代替として使用する。

エ：デジタル署名によってDNS応答の正当性を確認できる。（正解）

🔒 解説は解答すると表示されます

DNSSECは、DNSの応答にデジタル署名を付加し、受信側がその署名を検証することで、応答が正当なものであるか、途中で改ざんされていないかを確認する仕組みです。

したがって、デジタル署名によってDNS応答の正当性を確認できるというエが適切です。

ア：DNSSECは、DNS応答の正当性確認や改ざん検知を行います。大量の通信でサービスを停止させるDoS攻撃を防止する機能ではありません。
イ：DNSSECの利用にIPsecによる暗号化通信は必要ありません。DNSSECはDNSデータに署名を付けて検証する仕組みであり、通信内容そのものを暗号化するものではありません。
ウ：DNSSECはDNSサーバソフトウェアではなく、DNSの安全性を高めるための拡張機能です。BINDなどのDNSサーバ実装でも利用できます。
エ：DNS応答に付与されたデジタル署名を検証することで、応答の正当性や改ざんの有無を確認できます。

署名があるから暗号化されていると考えるのは誤りです。署名は正当性の確認に使われますが、DNSの通信内容を隠す機能ではありません。
DNSSECでDNSへの攻撃全般を防げるわけではありません。偽の応答の検知には役立ちますが、DoS攻撃などによるサービス停止を防止するものではありません。
DNSSECは特定のDNSサーバソフトウェアだと思い込まないようにしましょう。DNSSECはDNSの拡張機能です。

DNSSECでは、DNSデータに対する署名を検証し、信頼できる署名者から正しい情報が提供されていることを確認します。この検証を行うには、DNSSECに対応したサーバやクライアント側の検証機能が必要です。

なお、DNSSECはDNS情報の正当性・完全性を確認する仕組みです。DNS通信の機密性を保つ暗号化とは目的が異なります。

Q. DNSSECを使うと、DNSの通信内容は暗号化されますか？
A. いいえ。DNSSECは署名の検証によって正当性や改ざんの有無を確認します。通信内容を暗号化する仕組みではありません。

Q. DNSSECがあれば、DNSサーバへのDoS攻撃を防げますか？
A. いいえ。DNSSECはDoS攻撃によるサービス停止を防止する機能ではありません。主な目的は、DNS応答の正当性確認と改ざん検知です。

関連キーワード: DNSSEC、DNS、デジタル署名、DNS応答、改ざん検知、IPsec

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！