ソースポートランダマイゼーションとは？そーすぽーとらんだまいぜーしょん
ソースポートランダマイゼーションとは、キャッシュDNSサーバが権威サーバへ問い合わせるとき、送信元ポート番号を問合せごとに無作為へ選ぶ対策。偽の応答を先回りさせるには16ビットのトランザクションIDに加えて送信元ポートも一致させる必要が生じ、当てるべき組合せが桁違いに広がる。カミンスキー型のキャッシュ汚染に対する基本の緩和策である。
最終更新：2026-10-06
ネットワークSPを最短で暗記・合格する →背景
初期の実装は問合せの送信元ポートを固定していたので、偽応答が受理される条件はトランザクションIDが一致することだけだった。ID空間は6万5千通りしかなく、権威サーバより先に大量の偽応答を投げれば現実的な時間で当たる。2008年に公表された手口でこれが実害として示され、各実装は送信元ポートも無作為化し、当てるべき空間を掛け算で広げる形へ揃えられた。
具体例
BINDやUnboundなど現行のキャッシュサーバは、既定で送信元ポートを無作為化する。ただし境界のNAT装置が送信元ポートを順番に振り直す実装だと、外から見えるポートが予測可能になり、無作為化の効果が打ち消される。キャッシュサーバの外向き通信をポートを保存するNATに通すか、NATを介さない経路にするかを設計時に決めておく。
試験での引っ掛け
偽応答を防ぎ切る仕組みではなく、当たる確率を下げる緩和策である点を押さえる。応答が本物かを検証するのはDNSSECの署名検証の役目で、両者は置き換えの関係にない。また経路上のNATで無作為性が失われれば効果は消えるため、サーバの設定だけを見て「対策済み」と判断しない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。