DNSSECとは？でぃーえぬえすせっく
DNSSECとは、DNS応答に電子署名（RRSIG）を付け、公開鍵（DNSKEY）と親ゾーンが持つDSレコードをたどる信頼の連鎖によって、そのレコードが正規の権威サーバ由来で改ざんされていないことを検証できるようにする拡張仕様。検証はルートゾーンを起点にして閉じる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
名前解決はもともと、問合せに合致する応答を先に返した相手を信じる仕組みで、偽の応答を先回りさせれば利用者を別のサーバへ誘導できた。2008年に公表されたキャッシュポイズニングの手法によって、偽応答を当てる難度が実用的な水準にあることが広く知られ、送信元ポートのランダム化だけでは根治しないと判断された。そこで出所そのものを署名で確かめる方式が実装に移された。
具体例
日本のccTLDである.jpゾーンはJPRSが2011年からDNSSECに対応しており、ルート→jp→配下ゾーンの順にDSとDNSKEYをたどって検証が成立する。子ゾーンの運用側は、鍵を更新するたびに新しいDSを親ゾーンへ登録し直さないと連鎖が切れる。
試験での引っ掛け
保証するのは出所の正当性と完全性だけで、問合せも応答も平文のまま流れる。盗聴を防ぎたいならDoHやDoTという別の手当てになる。また検証を行うのはリゾルバ側の機能であり、権威サーバに署名を置いただけでは利用者に届くまでの安全は担保されない。
関連用語
出た過去問
出典：平成29年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問19（IPA）
DNSSECの機能はどれか。
正解：DNSサーバから受け取るリソースレコードに対するディジタル署名を利用して、リソースレコードの送信者の正当性とデータの完全性を検証する。
要点：DNSSECは署名でレコードの正当性と完全性を検証
DNSSECは、DNSの応答に含まれるリソースレコードへディジタル署名を付ける拡張である。問合せ側は公開鍵で署名を検証することで、そのレコードが正当な権威サーバから出されたものであり、途中で改ざんされていないことを確認できる。これによりキャッシュポイズニングを防げる。
出典：令和7年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問20（IPA）
DNSSECの機能はどれか。
正解：DNSサーバから受け取るリソースレコードに対するデジタル署名を利用して、リソースレコードの送信者の正当性とデータの完全性を検証する。
要点：DNSSECは署名検証でレコードの出所と完全性を確かめる
DNSSECは、DNSのリソースレコードにデジタル署名を付け、受け取った側が公開鍵で検証する仕組みである。これにより、そのレコードが正当な権威DNSサーバから発行されたもので、途中で改ざんされていないことを確認できる。キャッシュポイズニングによる偽の応答の混入を防ぐことが目的である。
出典・参考
高度試験 午前I（高度午前I 相当）のシラバスの3 技術要素 ＞ 5. セキュリティ実装技術 ＞ (2) 認証・認可技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。