令和5年度 秋期 情報処理安全確保支援士試験 午前II 問13

DNSSEC（DNS Security Extensions）は、DNSにおける応答の偽造を防ぐためのセキュリティ拡張仕様です。

DNS応答に 公開鍵暗号方式 を用いた デジタル署名 を付加し、それを受信した リゾルバ（キャッシュDNSサーバ） が署名を検証します。これにより、DNS応答の 「データの作成元の正当性」（正しい権威DNSサーバからの応答であること）と 「データの完全性」（通信途中で改ざんされていないこと）を確認することができます。これはDNSキャッシュポイズニング攻撃などの対策として非常に有効です。

各選択肢の解説

• ア: 誤りです。DNSSECは通信経路上の盗聴を防ぐための暗号化機能を提供しません。盗聴防止には DNS over TLS (DoT) や DNS over HTTPS (DoH) などが用いられます。
• イ: 誤りです。デジタル署名を検証するのは、応答を受信する リゾルバ の役割です。権威DNSサーバは署名を作成・付与して応答を送信する役割を担います。
• ウ: 誤りです。アの解説と同様に、DNSSECは通信データの暗号化を行うものではなく、盗聴を防ぐ機能はありません。
• エ: 正解です。 リゾルバが受信時にデジタル署名を検証することで、データの作成元の正当性と完全性を確認します。