令和5年度 秋期 午前 問45

✓ これが正解エ公開鍵暗号方式によるデジタル署名を用いることによって，正当な DNS サーバからの応答であることをクライアントが検証できる。

解説

公開鍵の署名で応答の正しさを確かめます。

設問は DNSSEC についての適切な記述を選ばせています。これは DNS の応答を守る仕組みで、守り方は署名です。ふるいは二段で足ります。一段目は、その記述が応答の正しさを証明しているのか、それとも偽の応答を当てにくくしたり、悪用されない設定をしたりという別の工夫を述べているのかという点です。二段目は、署名を述べている記述について、使っている暗号方式がどちらなのかという点です。見ず知らずのクライアントが誰でも検証できなければならない以上、あらかじめ鍵を分け合っておく必要のある方式では成り立ちません。正解は、公開鍵暗号方式によるデジタル署名を用いることによって、正当な DNS サーバからの応答であることをクライアントが検証できるという記述です。上の階層が下の階層の鍵を保証していく形で信用がつながり、偽の答えを覚え込ませる攻撃を防げます。保証されるのは改ざんされていないことであり、通信の中身を隠すことではありません。

ほかの選択肢はなぜ違うのか

• アDNS サーバへの問合せ時の送信元ポート…：問合せ時の送信元ポート番号を無作為に選ぶ方法で、偽の応答を的中させにくくする効果はあります。ただし当てにくくしているだけで、届いた答えが正しいことを証明してはいません。
• イDNS の再帰的な問合せの送信元として許…：再帰的な問合せを受け付けるクライアントを絞る設定で、踏み台にされて攻撃に加担することを防ぎます。守っているのは自分が加害者にならないことであり、応答の正しさとは別の話です。
• ウ共通鍵暗号方式によるメッセージ認証を用い…：共通鍵暗号方式によるメッセージ認証を用いるという記述で、正解とは方式を表す一語だけが違います。あらかじめ鍵を共有した相手としか使えず、不特定多数が検証する用途には向きません。