平成27年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問14
認証・認可技術
DNSSECで実現できること
DNSSEC で実現できることはどれか。
- アDNS キャッシュサーバからの応答中のリソースレコードが，権威 DNS サーバで管理されているものであり，改ざんされていないことの検証
- イ権威 DNS サーバと DNS キャッシュサーバとの通信を暗号化することによる，ゾーン情報の漏えいの防止
- ウ長音“ー”と漢数字“一”などの似た文字をドメイン名に用いて，正規サイトのように見せかける攻撃の防止
- エ利用者の URL の打ち間違いを悪用して，偽サイトに誘導する攻撃の検知
答えと解説を見る
✓ これが正解アDNS キャッシュサーバからの応答中のリソースレコードが，権威 DNS サーバで管理されているものであり，改ざんされていないことの検証
解説
署名で応答の出自と改ざんがないことを検証できます。
DNSSEC は、DNS の応答にデジタル署名を付け、受け取った側がその署名を検証できるようにする仕組みです。署名は権威 DNS サーバで管理されているデータに対して付けられます。そのため、DNS キャッシュサーバから返ってきたリソースレコードが、権威 DNS サーバのものであり、途中で書き換えられていないことを確かめられます。キャッシュポイズニングで偽の情報を送り込まれても、署名の検証で見抜けます。守るのは出自と完全性であり、通信を秘匿するものではありません。
ほかの選択肢はなぜ違うのか
- イ権威 DNS サーバと DNS キャッシ…：DNSSEC は署名を付けるだけで、やり取りの中身は暗号化しません。ゾーン情報が第三者に見えないようにするといった機密性の確保は、この仕組みでは実現できません。
- ウ長音“ー”と漢数字“一”などの似た文字を…：長音と漢数字のような似た文字を使ったドメイン名も、正規の手続きで登録して署名まで付けられます。応答が正しく署名されていれば検証は通るので、このような見せかけは防げません。
- エ利用者の URL の打ち間違いを悪用して…：打ち間違いを狙った偽サイトのドメイン名も、偽サイト側が正規に登録したものです。その DNS の応答は正しい応答として検証を通るため、誘導に気付く手段にはなりません。
この問題の用語
- DNS人が読む名前と、機械が使う住所を対応づけて教えてくれる仕組み。これがないと、名前でつなぐことができません。
- キャッシュ一度取り寄せた内容を手元に置いて、次から早く使えるようにする仕組み。CPUとメモリの間や、ブラウザ、DNSなど、さまざまな場所で使われます。
- 改ざん保管や送信の途中で、内容を許されずに書き換えること。完全性が損なわれますが、電子署名などを使えば起きたことを見つけられます。
- 暗号化内容を鍵がなければ読めない形に変換すること。通信の経路だけでは守りきれない場合があるので、ファイル自体にも施します。
- ドメイン名インターネット上の場所を、人が読める形で表した名前。通信するときはIPアドレスに変換してから使われます。
- URLインターネット上の場所を表す住所の文字列です。指したページがサーバに無いときは、404という番号のエラーが返ります。
出典：平成27年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問14
同じ用語が出る問題
- 令和7年度 秋期 午前Ⅱ 問8：ドメインフロンティングの問題（キャッシュ）
- 令和7年度 春期 午前Ⅱ 問15：ARPキャッシュに関する問題（キャッシュ）
- 令和7年度 春期 午前Ⅱ 問4：カミンスキー攻撃への対策（DNS）
- 令和4年度 春期 午前Ⅱ 問13：DNSSECで実現できること（ドメイン名）
- 平成29年度 春期 午前Ⅱ 問6：DNS水責め攻撃に関する問題（ドメイン名）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）