DNSキャッシュポイズニングとは？でぃーえぬえすきゃっしゅぽいずにんぐ
DNSキャッシュポイズニングとは、キャッシュDNSサーバに偽の応答を正規の応答より先に受け入れさせ、誤ったIPアドレスをキャッシュへ残す攻撃。以後その名前を引いた利用者や機器は、攻撃者が用意したサーバへ誘導される。名前解決の結果を信じて接続先を決めるという仕組みそのものを突くため、通信路を暗号化していても入口で外される。
最終更新：2026-10-06
エンベデッドSPを最短で暗記・合格する →背景
DNSの問い合わせはUDPで行われ、正しい応答かどうかはトランザクションIDと送信元ポートの一致だけで判定していた。照合の材料が少ないため、当て推量で先に偽応答を送り込めば通ってしまう。総当たりを現実的な時間で成立させる手口が公開されて対策が急がれた経緯がある。組込み機器は接続先を名前で持つので、ここを崩されると更新サーバごとすり替えられる。
具体例
IoT機器がファームウェア更新サーバをFQDNで引く構成では、名前解決を汚されるだけで攻撃者のサーバから配信を受けることになる。だからこそ機器側の防御は名前解決の正しさに賭けず、受け取ったファームウェアの電子署名を機器内の公開鍵で検証し、合わなければ書き込まないという段に持たせる。
試験での引っ掛け
送信元ポートのランダム化は当てにくくする緩和策であって根本対策ではない。解決側の根本対策は応答に署名を付けて検証するDNSSECだが、MCUクラスの機器で検証まで実装するのは重く、実際にはサーバ証明書の検証とファームウェアの署名検証で守る。「DNSSECを入れれば機器側は何もしなくてよい」は誤り。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。