DNSSECとは？でぃーえぬえすせっく
DNSSECとは、DNSの応答に電子署名を付け、応答が正しい権威サーバから出たもので途中で改ざんされていないことを検証できるようにする仕組み。キャッシュポイズニングへの根本対策にあたる。運用の場面では、導入そのものより導入後の鍵と署名の期限管理が課題で、署名の有効期限を切らすと、検証を行うキャッシュサーバから見て自ドメイン全体が名前解決不能になる。
最終更新：2026-10-06
ITサービスマネージャを最短で暗記・合格する →背景
DNSは、問い合わせに対して先に届いた応答を信じる仕組みとして設計されており、応答の出所を確かめる手段を持っていなかった。偽の応答を先に届かせれば利用者を偽サイトへ誘導できるという弱点は、送信元ポートの乱数化などで当てにくくはできても、原理として残る。信じる根拠を「先に届いたこと」から「正しい鍵で署名されていること」へ置き換えたのがDNSSECであり、これは推測を困難にする緩和策とは性質が異なる。
具体例
2010年にルートゾーンが署名され、.jp も日本レジストリサービス（JPRS）により署名されている。権威サーバが署名した応答を、キャッシュサーバが上位から連なる信頼の連鎖をたどって検証する。運用としては、ゾーン署名鍵（ZSK）と鍵署名鍵（KSK）の更新（ロールオーバ）を定期作業として手順化し、署名の有効期限を監視項目に入れて期限前にアラートを上げる設計が必須になる。
試験での引っ掛け
DNSSECが提供するのは真正性と完全性であって、通信内容の機密性ではない——問い合わせ内容は暗号化されないので、これを暗号化するのは DNS over HTTPS などの別の仕組みである。運用で起きる事故は攻撃より設定に起因するものが多く、署名の有効期限切れや、上位へ登録したDS（委任署名）レコードと自ゾーンの鍵の不一致で、検証を行うキャッシュサーバからだけ引けなくなる。この場合、検証しないサーバからは正常に見えるため「一部の利用者だけ繋がらない」という切り分けの難しい申告になる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。