DNSSECとは？でぃーえぬえすせっく
DNSSECは、DNSの応答にデジタル署名を付け、リゾルバが署名を検証することで、応答の出所が正当で改ざんされていないことを確認できるようにする拡張。ルートゾーンから順に鍵をたどる信頼の連鎖（DSレコードで親が子の鍵を保証する）で検証し、ゾーンの署名にはZSK、鍵の署名にはKSKを使い分ける。NSEC／NSEC3により「そのレコードが存在しないこと」の証明もできる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
DNSは、軽さを優先してUDP1発の問合せ・応答で設計され、応答が本物かを確かめる手段を持たなかった。そのためIDとポートを当てて偽の応答を先に届けるキャッシュポイズニングが成立し、正しいドメイン名を入力した利用者を丸ごと偽サイトへ誘導できてしまう。名前解決はあらゆる通信の入口なので、ここが崩れると上位の対策も前提を失う。応答自体に署名を付けるDNSSECは、この構造的な弱点への根本対策として位置づけられる。
具体例
ルートゾーンは2010年に署名され、.jpゾーンもJPRSにより署名されているため、自社ドメインを署名すれば連鎖が成立する。運用では、KSKとZSKの更新周期を決めて自動化し、署名の有効期限が切れると検証側で名前解決そのものが失敗して全サービスが止まるため、期限までの残日数を最優先の監視項目に据える。
試験での引っ掛け
DNSSECは応答を暗号化しない。守るのは完全性と出所の正当性であって機密性ではなく、問合せ内容を秘匿したい場合はDoTやDoHを使う――この2つは目的が違うので、片方がもう片方の代わりにはならない。また署名により応答が大きくなるため、対策を怠ると増幅型DDoSの踏み台にされうる点も、DNS側の設計として問われる。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問13（IPA）
DNSSECで実現できることはどれか。
正解：DNSキャッシュサーバが得た応答中のリソースレコードが，権威DNSサーバで管理されているものであり，改ざんされていないことの検証
要点：DNSSECは署名で応答の出所と完全性を検証する
DNSSECは、DNSの各リソースレコードにディジタル署名を付け、権威DNSサーバが管理する正当なデータであること、および改ざんされていないことを検証できるようにする仕組みです。信頼の連鎖を親ゾーンから辿って公開鍵の正当性を確認します。通信の暗号化は行わないので、内容の秘匿はできません。
出典：平成29年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問6（IPA）解説で登場
DNSに対するカミンスキー攻撃（Kaminsky's attack）への対策はどれか。
正解：問合せ時の送信元ポート番号をランダム化することによって，DNSキャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。
要点：カミンスキー攻撃対策は送信元ポートのランダム化
カミンスキー攻撃は、存在しないサブドメインへの問合せを大量に発生させ、権威DNSサーバより先に偽の応答を返してキャッシュを汚染するDNSキャッシュポイズニングの手法である。偽装成功にはトランザクションIDと問合せ送信元ポート番号の一致が必要なため、送信元ポートをランダム化して探索空間を広げることが基本的な緩和策となる。根本的な対策としてはDNSSECによる応答の正当性検証がある。
出典：平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問16（IPA）
DNSSECで実現できることはどれか。
正解：DNSキャッシュサーバが得た応答中のリソースレコードが,権威DNSサーバで管理されているものであり,改ざんされていないことの検証
要点：DNSSECは署名で応答の出所と完全性を検証する
DNSSECは、各リソースレコードにゾーンの秘密鍵で作った署名（RRSIG）を付け、信頼の連鎖をたどって検証できるようにする拡張である。これによりキャッシュサーバは、受け取った応答が正規の権威サーバが用意した内容であり途中で差し替えられていないことを確認でき、キャッシュポイズニングを防げる。あくまで出所と完全性の保証であって、通信内容を秘匿するものではない。
出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問18（IPA）
DNSSECに関する記述として、適切なものはどれか。
正解：ディジタル署名によってDNS応答の正当性を確認できる。
要点：DNSSECは署名検証でDNS応答の正当性を保証する
DNSSECは、DNSの応答レコードに公開鍵暗号によるディジタル署名を付与し、リゾルバ側で署名を検証することで、応答が正当な権威サーバに由来し改ざんされていないことを確認する仕組みである。これによりDNSキャッシュポイズニングを防げる。応答内容そのものは暗号化されず、機密性やDoS耐性を与えるものではない点に注意する。
出典：令和2年度 10月試験 情報処理安全確保支援士試験 午前Ⅱ 問15（IPA）
DNSSECで実現できることはどれか。
正解：DNSキャッシュサーバが得た応答中のリソースレコードが、権威DNSサーバで管理されているものであり、改ざんされていないことの検証
要点：DNSSECは署名で応答の出所と完全性を検証する
DNSSECは、各リソースレコードにゾーンの秘密鍵で作った署名を付け、上位ゾーンからの信頼の連鎖をたどって検証できるようにする拡張である。これによりキャッシュサーバは、受け取った応答が正規の権威サーバに由来し途中で差し替えられていないことを確認でき、キャッシュポイズニングを防げる。出所と完全性の保証であって、内容の秘匿を行うものではない。
出典・参考
公式シラバスの3 技術要素 ＞ 5. セキュリティ実装技術 ＞ (2) 認証・認可技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。