令和4年度 秋期 午前Ⅱ 問22

✓ これが正解エデジタル署名によってDNS応答の正当性を確認できる。

解説

DNSSECは、デジタル署名でDNS応答の正当性を確認できます。

DNSSEC（DNS Security Extensions）は、DNSの応答にデジタル署名を付けることで、受け取った応答が正当な権威DNSサーバから送られたものであり、途中で改ざんされていないことを確認できるようにするDNSの拡張仕様です。DNSの応答を偽装して利用者を偽のサイトへ誘導するキャッシュポイズニングのような攻撃への対策として使われます。応答の中身を暗号化するものではなく、出どころと完全性を検証する仕組みである点が特徴です。見分ける軸は、何を守る技術かという点です。DNSSECのSECは安全性を意味しますが、守るのは応答の正しさだと押さえると、可用性や通信の暗号化を守るとする記述を見分けられます。

ほかの選択肢はなぜ違うのか

• アDNSサーバへのDoS攻撃を防止できる。：DNSSECは応答にデジタル署名を付けて正しさを検証する仕組みであり、DNSサーバに大量の要求を送りつけるDoS攻撃を防ぐ機能はありません。署名の付加で応答のデータ量が増えるため、負荷の面ではむしろ配慮が必要です。
• イIPsecによる暗号化通信が前提となって…：DNSSECは、IPsecによる暗号化通信を前提にしていません。DNSの応答そのものに署名を付けて検証するので、通信路を暗号化しなくても応答の正当性を確かめられる点が特徴です。
• ウ代表的なDNSサーバの実装であるBIND…：BINDはDNSサーバのソフトウェアの実装であり、DNSSECはDNSの拡張仕様です。両者は代わりになる関係ではなく、BINDなどのDNSサーバのソフトウェアがDNSSECに対応する、という関係にあります。