DNSSECとは？

DNSSECの意味

DNSの応答にデジタル署名（RRSIG）を付け、公開鍵（DNSKEY）と上位ゾーンからの信頼の連鎖（DSレコード）によって、レコードの出所の正当性と改ざんされていないこと（完全性）を検証できるようにする拡張。

DNSSECの具体例

検証に対応したリゾルバは、署名が検証できない応答をSERVFAILとして返し、偽の情報を利用者に渡さない。

DNSSECは試験でどう引っ掛けられる？

DNSSECは応答の暗号化（機密性の確保）はしない。内容は平文のままで、保証するのは真正性と完全性。暗号化したいならDoH/DoTを使う。

DNSSECと関連する用語

• DNSキャッシュポイズニング

DNSSECが出た過去問

• DNSSECの機能はどれか。

  正解：DNSサーバから受け取るリソースレコードに対するディジタル署名を利用して、リソースレコードの送信者の正当性とデータの完全性を検証する。

  要点：DNSSECは署名でレコードの正当性と完全性を検証

  DNSSECは、DNSの応答に含まれるリソースレコードへディジタル署名を付ける拡張である。問合せ側は公開鍵で署名を検証することで、そのレコードが正当な権威サーバから出されたものであり、途中で改ざんされていないことを確認できる。これによりキャッシュポイズニングを防げる。

  出典：平成29年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問19（IPA）

• DNSSECの機能はどれか。

  正解：DNSサーバから受け取るリソースレコードに対するデジタル署名を利用して、リソースレコードの送信者の正当性とデータの完全性を検証する。

  要点：DNSSECは署名検証でレコードの出所と完全性を確かめる

  DNSSECは、DNSのリソースレコードにデジタル署名を付け、受け取った側が公開鍵で検証する仕組みである。これにより、そのレコードが正当な権威DNSサーバから発行されたもので、途中で改ざんされていないことを確認できる。キャッシュポイズニングによる偽の応答の混入を防ぐことが目的である。

  出典：令和7年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問20（IPA）