令和6年度 秋期 午前 問42

✓ これが正解イDNS 問合せに使用する DNS ヘッダー内の ID を固定せずにランダムに変更する。

解説

偽の応答を当てにくくする値を増やします。

設問は、DNS キャッシュポイズニング攻撃に対して有効な対策を選ばせています。この攻撃は、名前を調べているサーバの隙をついて偽の応答を先に届け、蓄えられた情報を汚すものです。偽の応答が受け入れられるには、送り出した問合せに付いていた値と一致していなければなりません。したがって軸は、その値を攻撃する側が言い当てにくくなるかどうかという点になります。正解は、DNS 問合せに使用する DNS ヘッダー内の ID を固定せずにランダムに変更するという記述です。この ID には 16 ビットの幅があり、毎回変えれば偶然に一致してしまう見込みが小さくなります。同じ考え方で問合せの送信元ポート番号も変える運用が広く行われ、さらに応答へ署名を付けて確かめる仕組みも別に用意されています。

ほかの選択肢はなぜ違うのか

• アDNS サーバにおいて，侵入したマルウェ…：サーバに入り込んだ不正なプログラムを見つけて隔離する運用です。守る相手が機器の中に居座るものであり、外から届く応答の中身をすり替えられる筋道には手が届きません。
• ウDNS 問合せに使用する送信元ポート番号…：問合せを出すときの送信元の番号を一つに決めてしまう運用です。決め打ちにすると、攻撃する側が合わせるべき組合せは減るので、偽の応答はかえって通りやすくなります。
• エ外部からの DNS 問合せに対しては，宛…：外部から届く問合せのうち、受け付ける宛先の番号を絞るという運用です。受付側の制限であって、自分が出した問合せへ返ってくる応答をどう信じるかという話には関わりません。