リソースレコードとは？

リソースレコードの意味

DNSが保持する情報の単位で、名前・種別・有効期間・値の組で表す。種別ごとに用途が決まっており、どの種別に何を書いたかがメール認証や証明書発行の可否を左右するため、設定内容がそのまま防御力に直結する。

リソースレコードの具体例

ホスト名とアドレスの対応、別名の定義、メール受信先の指定、任意文字列の記述といった種別を使い分ける。文字列を格納する種別は送信ドメイン認証やドメイン所有権の確認にも使われ、不要な記述が残ると情報の露出につながる。

リソースレコードは試験でどう引っ掛けられる？

別名を定義する種別は同じ名前に他の種別を併存できないという制約。頂点のドメイン名にこれを設定するとメール受信の指定と両立せず、名前解決が壊れる典型的な設定ミスになる。

リソースレコードと関連する用語

• ゾーン転送
• TTLとDNSキャッシュ
• サブドメインテイクオーバ

リソースレコードが出た過去問

• DNSSECで実現できることはどれか。

  正解：DNSキャッシュサーバが得た応答中のリソースレコードが，権威DNSサーバで管理されているものであり，改ざんされていないことの検証

  要点：DNSSECは署名で応答の出所と完全性を検証する

  DNSSECは、DNSの各リソースレコードにディジタル署名を付け、権威DNSサーバが管理する正当なデータであること、および改ざんされていないことを検証できるようにする仕組みです。信頼の連鎖を親ゾーンから辿って公開鍵の正当性を確認します。通信の暗号化は行わないので、内容の秘匿はできません。

  出典：平成28年度 秋期 情報処理安全確保支援士試験 am2 問13（IPA）

• DNSSECで実現できることはどれか。

  正解：DNSキャッシュサーバが得た応答中のリソースレコードが,権威DNSサーバで管理されているものであり,改ざんされていないことの検証

  要点：DNSSECは署名で応答の出所と完全性を検証する

  DNSSECは、各リソースレコードにゾーンの秘密鍵で作った署名（RRSIG）を付け、信頼の連鎖をたどって検証できるようにする拡張である。これによりキャッシュサーバは、受け取った応答が正規の権威サーバが用意した内容であり途中で差し替えられていないことを確認でき、キャッシュポイズニングを防げる。あくまで出所と完全性の保証であって、通信内容を秘匿するものではない。

  出典：平成30年度 春期 情報処理安全確保支援士試験 am2 問16（IPA）

• DNSSECで実現できることはどれか。

  正解：DNSキャッシュサーバが得た応答中のリソースレコードが、権威DNSサーバで管理されているものであり、改ざんされていないことの検証

  要点：DNSSECは署名で応答の出所と完全性を検証する

  DNSSECは、各リソースレコードにゾーンの秘密鍵で作った署名を付け、上位ゾーンからの信頼の連鎖をたどって検証できるようにする拡張である。これによりキャッシュサーバは、受け取った応答が正規の権威サーバに由来し途中で差し替えられていないことを確認でき、キャッシュポイズニングを防げる。出所と完全性の保証であって、内容の秘匿を行うものではない。

  出典：令和2年度 10月 情報処理安全確保支援士試験 am2 問15（IPA）

• DNSにおいてDNS CAA(Certification Authority Authorization)レコードを使うことによるセキュリティ上の効果はどれか。

  正解：不正なサーバ証明書の発行を防ぐ。

  要点：CAAは証明書を発行してよいCAをDNSで宣言する

  CAAレコードは、そのドメインに対してサーバ証明書を発行してよい認証局をDNS上で宣言するためのリソースレコードである。認証局は証明書発行の前にCAAを参照する義務があり、自局が許可されていなければ発行を拒否する。これにより、ドメイン所有者の意図しない認証局から不正な証明書が発行されるリスクを下げられる。

  出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問10（IPA）

• DNSSECで実現できることはどれか。

  正解：DNSキャッシュサーバが得た応答中のリソースレコードが、権威DNSサーバで管理されているものであり、改ざんされていないことの検証

  要点：DNSSECは応答の出所と改ざんの有無を署名で検証する

  DNSSECは、権威DNSサーバがゾーン内のリソースレコードにデジタル署名を付し、キャッシュDNSサーバが信頼の連鎖をたどって署名を検証する仕組みである。これにより、受け取った応答が正当な管理者の作成したものであり、途中で改ざんされていないこと（データ発信元認証と完全性）を確認でき、キャッシュポイズニングを防げる。応答の暗号化は行わないため、内容の秘匿はDNSSECの目的ではない。

  出典：令和4年度 春期 情報処理安全確保支援士試験 am2 問13（IPA）