DNSSECで実現できること｜科目A-1（応用情報技術者） 令和6年 春期午前試験 問37
出典：令和6年春期 午前 問37
分野：セキュリティ ／ セキュリティ実装技術
DNSSECで実現できることはどれか。
- ア：DNSキャッシュサーバが得た応答の中のリソースレコードが，権威DNSサーバで管理されているものであり，改ざんされていないことの検証
- イ：権威DNSサーバとDNSキャッシュサーバとの通信を暗号化することによる，ゾーン情報の漏えいの防止
- ウ：長音"ー"と漢数字"一"などの似た文字をドメイン名に用いて，正規サイトのように見せかける攻撃の防止
- エ：利用者のURLの入力誤りを悪用して，偽サイトに誘導する攻撃の検知
TSUNAGARU-ADVICE
まず押さえたいこと
DNSSECは、DNSの応答にデジタル署名を付けることで、受信したDNS情報が正当な権威DNSサーバから提供されたものであり、途中で改ざんされていないことを検証する仕組みです。
迷ったときの判断軸
DNSSECが保証するのは、DNS応答の真正性と完全性であり、通信内容そのものを暗号化する仕組みではありません。また、似た文字を使ったドメイン名による偽装や、URLの入力ミスを悪用した誘導を直接防ぐものでもありません。
科目Bにつなげるために
特に情報処理安全確保支援士試験合格を目指す方は、DNSSECをDNS応答へのデジタル署名・公開鍵による検証・DNSキャッシュポイズニング対策と結び付けて理解しましょう。DNSにおける信頼性確保の仕組みとして重要です。
DNSSECは、DNSの応答に電子署名を付けることで、受け取ったDNS情報が正しい権威DNSサーバによって提供されたものであり、途中で改ざんされていないことを検証する仕組みです。
DNSキャッシュサーバは、権威DNSサーバから受け取ったリソースレコードと電子署名を検証することで、名前解決結果の真正性と完全性を確認できます。
したがって、アが適切です。
❌他選択肢が誤りの理由イ：権威DNSサーバとDNSキャッシュサーバとの通信を暗号化することによる，ゾーン情報の漏えいの防止
⇒DNSSECの目的は通信内容の暗号化ではなく、DNS応答の真正性と完全性の検証です。通信の秘匿そのものを実現する仕組みではありません。
ウ：長音"ー"と漢数字"一"などの似た文字をドメイン名に用いて，正規サイトのように見せかける攻撃の防止
⇒似た文字を使って利用者をだます攻撃は、ホモグラフ攻撃などに関係するものです。DNSSECは、見た目が似たドメイン名の登録や利用そのものを防止する仕組みではありません。
エ：利用者のURLの入力誤りを悪用して，偽サイトに誘導する攻撃の検知
⇒URLの入力誤りを悪用する攻撃はタイポスクワッティングなどに関係します。DNSSECは、利用者が誤ったドメイン名を入力したことを検知する仕組みではありません。