DNSSECで実現できること｜情報処理安全確保支援士 平成30年 春期午前Ⅱ試験 問16
出典：平成30年春期 午前Ⅱ 問16
分野：セキュリティ ／ セキュリティ実装技術
DNSSECで実現できることはどれか。
- ア：DNSキャッシュサーバが得た応答中のリソースレコードが，権威DNSサーバで管理されているものであり，改ざんされていないことの検証
- イ：権威DNSサーバとDNSキャッシュサーバとの通信を暗号化することによる，ゾーン情報の漏えいの防止
- ウ：長音"ー"と漢数字"一"などの似た文字をドメイン名に用いて，正規サイトのように見せかける攻撃の防止
- エ：利用者のURLの入力誤りを悪用して，偽サイトに誘導する攻撃の検知
TSUNAGARU-ADVICE
まず押さえたいこと
DNSSECは、DNS応答に含まれるリソースレコードが正当な権威DNSサーバで管理されているものであり、途中で改ざんされていないことを検証する仕組みです。ポイントは、DNSの応答内容について真正性と完全性を確認することです。
迷ったときの判断軸
DNSSECは、DNS通信そのものを暗号化してゾーン情報の漏えいを防ぐ仕組みではありません。また、似た文字を使ったドメイン名のなりすましや、URLの入力誤りを悪用した偽サイト誘導を直接防ぐものでもありません。DNSSECは、DNS応答が正しいか、改ざんされていないかを署名で検証する技術と判断しましょう。
科目Bにつなげるために
科目Bでは、DNSキャッシュポイズニング・権威DNSサーバ・DNSキャッシュサーバ・名前解決の流れ・電子署名などと絡めて問われることがあります。DNSSECを読むときは、暗号化ではなく、DNS応答の改ざん検知と送信元の正当性確認に役立つ仕組みとして整理しましょう。
DNSSECは、DNS応答にデジタル署名を付与し、受信側でその署名を検証する仕組みです。これにより、応答に含まれるリソースレコードが正当な権威DNSサーバによって提供されたものであり、途中で改ざんされていないことを確認できます。
ただし、DNSSECはDNS通信そのものを暗号化する仕組みではなく、ドメイン名の見た目を悪用する攻撃や、利用者の入力誤りを直接防止するものでもありません。
したがって、アが適切です。
❌他選択肢が誤りの理由イ：権威DNSサーバとDNSキャッシュサーバとの通信を暗号化することによる，ゾーン情報の漏えいの防止
⇒DNSSECはDNS応答の真正性と完全性を確認する仕組みであり、通信内容を暗号化するものではありません。そのため、ゾーン情報の漏えい防止を直接の目的とはしていません。
ウ：長音"ー"と漢数字"一"などの似た文字をドメイン名に用いて，正規サイトのように見せかける攻撃の防止
⇒ホモグラフ攻撃に関する説明です。見た目が似た文字を使った偽ドメインの利用を、DNSSECによって防ぐことはできません。
エ：利用者のURLの入力誤りを悪用して，偽サイトに誘導する攻撃の検知
⇒タイポスクワッティングに関する説明です。利用者の入力ミスを狙って登録された別ドメインへのアクセスを、DNSSECが検知するわけではありません。