DNSSECとは？でぃーえぬえすせっく
DNSSECとは、DNSの応答レコードに電子署名を付け、正当な権威サーバから出た改ざんされていない応答であることを検証できるようにする仕組み。上位ゾーンが下位ゾーンの鍵を保証する信頼の連鎖をたどって検証するため、偽の応答をキャッシュに載せるポイズニングを防げる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
DNSは応答の正しさを送信元アドレスと問合せIDだけで判断する設計だったため、正規の応答より先に偽の応答を届けられると、利用者に気づかせないまま別のサーバへ誘導できてしまう。世界中で動いている仕組みを置き換えることは現実的でないため、プロトコルはそのままに、公開鍵暗号による署名と検証を後から足す形で真正性が確保された。
具体例
監査人は自社ドメインについて、権威サーバでの署名の有無に加え、鍵の更新（ロールオーバー）手順と署名の有効期限の管理を確かめる。署名が期限切れになると、検証を行う利用者側から名前解決ができなくなり、機密性ではなく可用性の障害として現れる。
試験での引っ掛け
DNSSECが保証するのは応答の真正性と完全性であって、通信内容の機密性ではない。問合せの内容は暗号化されず、その用途にはDoHやDoTが別に用意されている。署名を付けるだけでなく、信頼の連鎖が上位ゾーンまでつながって初めて検証が成立する点も要点である。
関連用語
出た過去問
出典：平成28年度 春期 システム監査技術者試験 午前Ⅱ 問21（IPA）
DNSSECの機能はどれか。
正解：DNSサーバから受け取るリソースレコードに対するディジタル署名を利用して,リソースレコードの送信者の正当性とデータの完全性を検証する。
要点：DNSSECは署名検証で応答の正当性と完全性を保証する
DNSSECは、DNSの応答が正当な権威サーバから発せられ改ざんされていないことを保証する仕組みである。各リソースレコードに公開鍵暗号によるディジタル署名を付与し、受け取った側が署名を検証することで送信元の正当性とデータの完全性を確認できる。これによりキャッシュポイズニングによる偽応答の受入れを防ぐ。
出典：令和4年度 秋期 システム監査技術者試験 午前Ⅱ 問22（IPA）
DNSSECに関する記述として、適切なものはどれか。
正解：デジタル署名によってDNS応答の正当性を確認できる。
要点：DNSSECは署名検証でDNS応答の出所と非改ざんを確認する仕組み
DNSSECは、DNSの応答に権威サーバの秘密鍵によるデジタル署名を付け、問合せ側が公開鍵で検証する仕組みである。これによりDNS応答が正規のサーバから発せられ改ざんされていないことを確認でき、キャッシュポイズニングによる偽の名前解決を防げる。応答自体は暗号化されず、可用性への攻撃であるDoSを防ぐものでもない。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。