DNSキャッシュサーバAと権威DNSサーバCにDNSSECを導入した。PCがDNSキャッシュサーバAを用いてWebサーバBの名前解決を行うとき、DNSキャッシュサーバAが、WebサーバBのドメインを管理している権威DNSサーバCに問い合わせた。そのDNS問合せ後、PCがWebサーバBにアクセスするまでのDNSキャッシュサーバA、PC、及び権威DNSサーバCの動作に関する記述のうち、適切なものはどれか。

選択肢

• アDNSキャッシュサーバAではDNS応答にデジタル署名を付加し、PCではDNSの公開鍵(DNS鍵)を用いてDNS応答について真正性と完全性を検証する。
• イDNSキャッシュサーバAではDNS応答を暗号化し、PCではDNS鍵を用いてDNS応答について真正性と完全性を検証する。
• ウ権威DNSサーバCではDNS応答にデジタル署名を付加し、DNSキャッシュサーバAではDNS鍵を用いてDNS応答について真正性と完全性を検証する。
• エ権威DNSサーバCではDNS応答を暗号化し、DNSキャッシュサーバAではDNS鍵を用いてDNS応答について真正性と完全性を検証する。

正解と解説

正解：ウ 権威DNSサーバCではDNS応答にデジタル署名を付加し、DNSキャッシュサーバAではDNS鍵を用いてDNS応答について真正性と完全性を検証する。

DNSSECでは、ゾーンを管理する権威DNSサーバが応答レコードに対する電子署名（RRSIG）を付け、問い合わせた側がゾーンの公開鍵（DNSKEY）で検証する。この設問の構成では署名を付けるのは権威DNSサーバC、検証するのは問い合わせたDNSキャッシュサーバAとなる。DNSSECは応答の真正性と完全性を保証する仕組みであって、通信内容を秘匿する暗号化ではない点に注意する。

選択肢ごとの解説

• ア署名を付けるのは権威DNSサーバ側であり、キャッシュサーバが署名を作るわけではない。
• イDNSSECは応答を暗号化する仕組みではなく、署名による検証を行うものである。
• ウ正しい。権威DNSサーバCが署名し、DNSキャッシュサーバAが公開鍵で検証する。
• エ権威DNSサーバが行うのは暗号化ではなく署名の付加である。

この問題に出た用語

• ディジタル署名
• TTLとDNSキャッシュ

同じ分野の他の問題

• SAML(Security Assertion Markup Language)の説明はどれか。2023年度 秋期 午前Ⅱ 問14
• SAML（Security Assertion Markup Language）の説明はどれか。2019年度 春期 午前Ⅱ 問19
• TLSに関する記述のうち、適切なものはどれか。2017年度 春期 午前Ⅱ 問19
• Linuxの拡張モジュールであるSELinux（Security-Enhanced Linux）を使用することによって可…2017年度 春期 午前Ⅱ 問10
• IoT機器においてもセキュリティ対応は重要であり、脆弱性対策の一つに耐タンパ性を高める方法がある。耐タンパ性を高める方法…2025年度 秋期 午前Ⅱ 問24