平成31年度 春期 午前 問40

✓ これが正解エ公開鍵暗号方式によるディジタル署名を用いることによって，正当な DNS サーバからの応答であることをクライアントが検証できる。

解説

公開鍵のデジタル署名で応答の正しさを確かめる方式です。

DNSSEC は、名前解決の応答が本物か、途中で書き換えられていないかを、受け手のクライアント側で確かめられるようにする拡張です。仕組みの中心は、応答を返すサーバが公開鍵暗号方式の秘密鍵でデジタル署名を作って一緒に返す、という点にあります。受け取ったクライアントは、対応する公開鍵で署名を検証し、応答が正しい送り手から出たもので、途中で改ざんされていないことを確かめられます。信頼の起点は上位のゾーンから鍵の指紋で辿っていく形になっており、途中の中継者ではなく、応答を作った側が確かに正しい持ち主だ、という保証を受け手側まで届けます。設問の記述にある、公開鍵によるデジタル署名で正当な応答であることを検証できる、という一文が、そのままこの拡張の骨組みを述べています。

ほかの選択肢はなぜ違うのか

• アDNS サーバへの問合せ時の送信元ポート…：問合せ時の送信元ポート番号をランダムに選択することで、不正な応答を防止すると述べています。これは応答を偽装する成功率を下げる工夫ですが、応答そのものを署名で検証する仕組みではありません。
• イDNS の再帰的な問合せの送信元として許…：再帰的な問合せの送信元として許可するクライアントを制限することで、DNSを悪用したDoS攻撃を防止すると述べています。これは踏み台化を減らすための設定運用の話で、応答の真正性を鍵で確かめる仕組みとは別の層です。
• ウ共通鍵暗号方式によるメッセージ認証を用い…：共通鍵暗号方式によるメッセージ認証を用いることで、正当なサーバからの応答であることをクライアントが検証できると述べています。この拡張が用いるのは公開鍵側の署名で、共通鍵での認証というのは仕組みの構成が違います。