平成24年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問18

✓ これが正解エディジタル署名によって DNS 応答の正当性を確認できる。

解説

デジタル署名で DNS 応答の正当性を確かめられるのが DNSSEC です。

DNSSEC は、DNS の応答にデジタル署名を付けて、その応答が正しい管理者から来たもので、途中で書き換えられていないことを確かめられるようにする拡張です。受け取った側は、公開鍵を使って署名を検証します。偽の応答を送り込むキャッシュポイズニングのような攻撃への対策になります。守られるのは応答の出所と完全性であり、通信の内容を秘密にすることや、サービスが止まるのを防ぐことは役割に含まれません。

ほかの選択肢はなぜ違うのか

• アDNS サーバへの DoS 攻撃を防止で…：署名の検証で分かるのは応答が本物かどうかで、大量の要求を送りつけてサーバを止める DoS 攻撃は防げません。署名が加わることで応答が大きくなり、かえって負荷の面で不利になることもあります。
• イIPsec による暗号化通信が前提となっ…：DNSSEC は応答を暗号化する仕組みではなく、IPsec による暗号化通信を前提ともしていません。署名を検証するための公開鍵も DNS の中で配布され、通信路の暗号化とは独立に働きます。
• ウ代表的な DNS サーバの実装である B…：DNSSEC は DNS の仕様を拡張したものであり、特定のソフトウェア製品ではありません。BIND などの DNS サーバの実装がこの拡張に対応して使うもので、BIND の代わりに置き換えるものではありません。