DNSSECとは？

DNSSECの意味

DNSの応答に電子署名を付与し、応答の出所の正当性と改ざんされていないことを検証できるようにする仕組み。DNSキャッシュポイズニングへの対策となる。

DNSSECの具体例

権威サーバが署名した応答を、キャッシュサーバが署名検証してから受け入れる。

DNSSECは試験でどう引っ掛けられる？

DNSSECが提供するのは真正性・完全性であり、通信内容の機密性（暗号化）ではない。

DNSSECと関連する用語

• DNSキャッシュポイズニング

DNSSECが出た過去問

• DNSSECの機能はどれか。

  正解：DNSサーバから受け取るリソースレコードに対するディジタル署名を利用して,リソースレコードの送信者の正当性とデータの完全性を検証する。

  要点：DNSSECは署名検証で応答の正当性と完全性を保証する

  DNSSECは、DNSの応答が正当な権威サーバから発せられ改ざんされていないことを保証する仕組みである。各リソースレコードに公開鍵暗号によるディジタル署名を付与し、受け取った側が署名を検証することで送信元の正当性とデータの完全性を確認できる。これによりキャッシュポイズニングによる偽応答の受入れを防ぐ。

  出典：平成28年度 春期 システム監査技術者試験 am2 問21（IPA）

• DNSSECに関する記述として、適切なものはどれか。

  正解：デジタル署名によってDNS応答の正当性を確認できる。

  要点：DNSSECは署名検証でDNS応答の出所と非改ざんを確認する仕組み

  DNSSECは、DNSの応答に権威サーバの秘密鍵によるデジタル署名を付け、問合せ側が公開鍵で検証する仕組みである。これによりDNS応答が正規のサーバから発せられ改ざんされていないことを確認でき、キャッシュポイズニングによる偽の名前解決を防げる。応答自体は暗号化されず、可用性への攻撃であるDoSを防ぐものでもない。

  出典：令和4年度 秋期 システム監査技術者試験 am2 問22（IPA）