DNSSECの仕様｜科目A-1（応用情報技術者） 令和6年 秋期午前試験 問44

• ア：DNSキャッシュサーバで，権威DNSサーバに名前を問い合わせるときの送信元ポート番号を問合せのたびにランダムに変える。
• イ：権威DNSサーバで公開鍵を公開し，秘密鍵を使ってリソースレコードにデジタル署名を付与する。DNSキャッシュサーバで，権威DNSサーバから受信したリソースレコードのデジタル署名を検証する。
• ウ：電子メールを送信するメールサーバのIPアドレスを権威DNSサーバに登録する。電子メールを受信するメールサーバで，権威DNSサーバに登録されている情報を用いて，送信元メールサーバのIPアドレスを検証する。
• エ：電子メールを送信するメールサーバの公開鍵を権威DNSサーバで公開し，秘密鍵を使って電子メールにデジタル署名を付与する。電子メールを受信するメールサーバで，電子メールのデジタル署名を検証する。

解説

DNSSEC（DNS Security Extensions）は、DNSの応答データにデジタル署名を付けることで、受信したDNS情報が正しい権威DNSサーバから送られたものであり、途中で改ざんされていないことを検証する仕組みです。

権威DNSサーバは秘密鍵を使ってリソースレコードにデジタル署名を付与し、対応する公開鍵をDNSで公開します。DNSキャッシュサーバなどは、その公開鍵を使って署名を検証します。

したがって、イが適切です。

❌他選択肢が誤りの理由
ア：DNSキャッシュサーバで，権威DNSサーバに名前を問い合わせるときの送信元ポート番号を問合せのたびにランダムに変える。
⇒DNSキャッシュポイズニング対策の一つである送信元ポート番号のランダム化です。DNSSECそのものの仕様ではありません。

---

ウ：電子メールを送信するメールサーバのIPアドレスを権威DNSサーバに登録する。電子メールを受信するメールサーバで，権威DNSサーバに登録されている情報を用いて，送信元メールサーバのIPアドレスを検証する。
⇒SPFの説明です。送信元メールサーバのIPアドレスをDNSに登録し、送信元ドメインのなりすましを検出します。

---

エ：電子メールを送信するメールサーバの公開鍵を権威DNSサーバで公開し，秘密鍵を使って電子メールにデジタル署名を付与する。電子メールを受信するメールサーバで，電子メールのデジタル署名を検証する。
⇒DKIMの説明です。電子メールにデジタル署名を付け、DNSで公開された公開鍵を使って受信側が署名を検証します。

---

TSUNAGARU-ADVICE

まず押さえたいこと

DNSSECは、DNSの応答データにデジタル署名を付けて、応答が正当なものであり改ざんされていないことを検証する仕組みです。権威DNSサーバ側で秘密鍵を使って署名し、公開鍵を利用して検証します。

迷ったときの判断軸

DNSSECは、DNSキャッシュポイズニング対策の一つですが、単に送信元ポート番号をランダム化する仕組みではありません。また、メール送信元のIPアドレスをDNSで確認する仕組みはSPF、メール本文にデジタル署名を付けて検証する仕組みはDKIMとして区別しましょう。

科目Bにつなげるために

特に情報処理安全確保支援士試験合格を目指す方は、DNSSECをDNS応答の真正性と完全性をデジタル署名で確認する仕組みとして理解しましょう。DNSキャッシュポイズニングへの対策や、公開鍵暗号・デジタル署名の実際の利用例としても重要です。