DNSSECとは？

DNSSECの意味

DNSの応答にディジタル署名を付け、上位ゾーンから順に署名の連鎖をたどって正当性を検証する拡張。偽の応答を注入して利用者を偽サイトへ誘導する攻撃を、応答の出所を検証することで防ぐ。名前解決の結果に対する完全性と出所認証を与える仕組みである。

DNSSECの具体例

権威サーバがゾーンに署名し、その公開鍵のハッシュを親ゾーンへ登録する。キャッシュサーバはルートの信頼点から順に検証し、署名が合わなければ応答を返さない。鍵更新の手順を誤るとゾーン全体が解決不能になるため、運用手順の整備が前提となる。

DNSSECは試験でどう引っ掛けられる？

DNSSECは応答を暗号化しないため、どのドメインを引いたかは経路上から見える。秘匿したい場合はDoH・DoTという別の技術が要る。目的が「改ざん防止」であって「盗聴防止」でない点が最頻出の区別である。

DNSSECと関連する用語

• DNSキャッシュポイズニング
• DNSの仕組み（名前解決と階層構造）
• 送信ドメイン認証（SPF・DKIM・DMARC）

DNSSECが出た過去問

• DNSSECについての記述のうち、適切なものはどれか。

  正解：公開鍵暗号方式によるディジタル署名を用いることによって、正当なDNSサーバからの応答であることをクライアントが検証できる。

  要点：DNSSECは公開鍵署名でDNS応答の正当性を検証する仕組み

  DNSSECは、DNSの応答であるリソースレコードに公開鍵暗号方式によるディジタル署名を付ける拡張である。クライアント（バリデータ）は信頼の連鎖をたどって署名を検証することで、応答が正当な権威サーバに由来し改ざんされていないことを確認でき、キャッシュポイズニングを防げる。

  出典：令和1年度 春期 応用情報技術者試験 午前 問40（IPA）

• DNSSECについての記述のうち、適切なものはどれか。

  正解：公開鍵暗号方式によるデジタル署名を用いることによって、正当なDNSサーバからの応答であることをクライアントが検証できる。

  要点：DNSSECは公開鍵署名でDNS応答の正当性を検証する

  DNSSECは、DNSの応答レコードに公開鍵暗号方式によるデジタル署名を付け、問合せ側が署名を検証することで、応答が正当な権威サーバから送られ改ざんされていないことを確認できるようにする拡張である。これによりキャッシュポイズニングなど偽の応答を混入させる攻撃を防げる。信頼の連鎖を上位ゾーンからたどって検証する点も特徴である。

  出典：令和5年度 秋期 応用情報技術者試験 午前 問45（IPA）

• DNSSECの仕様はどれか。

  正解：権威DNSサーバで公開鍵を公開し、秘密鍵を使ってリソースレコードにデジタル署名を付与する。DNSキャッシュサーバで、権威DNSサーバから受信したリソースレコードのデジタル署名を検証する。

  要点：DNSSECはリソースレコードへの署名と検証で応答の真正性を守る

  DNSSECは、DNSの応答が正規の権威サーバから改ざんされずに届いたことを保証する拡張仕様である。権威DNSサーバが秘密鍵でリソースレコードにデジタル署名（RRSIG）を付け、公開鍵（DNSKEY）を公開する。キャッシュサーバは信頼の連鎖をたどって署名を検証し、偽装された応答を排除する。

  出典：令和6年度 秋期 応用情報技術者試験 午前 問44（IPA）

• DNSSECで実現できることはどれか。

  正解：DNSキャッシュサーバが得た応答の中のリソースレコードが、権威DNSサーバで管理されているものであり、改ざんされていないことの検証

  要点：DNSSECは署名検証で応答の出自と非改ざんを確かめる仕組み

  DNSSECは、ゾーンの各リソースレコードに権威DNSサーバの秘密鍵でデジタル署名を付け、キャッシュDNSサーバが公開鍵で検証する仕組みである。これにより応答が正規の権威サーバに由来し、途中で改ざんされていないこと（出自の真正性と完全性）を確認でき、キャッシュポイズニングへの対策になる。なお通信内容の暗号化は行わない。

  出典：令和6年度 春期 応用情報技術者試験 午前 問37（IPA）