平成26年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問18

✓ これが正解エディジタル署名によって DNS 応答の正当性を確認できる。

解説

DNSSEC は、デジタル署名で DNS 応答の正当性を確認できます。

DNSSEC は、DNS の応答にデジタル署名を付け、受け取った側がその署名を検証できるようにする DNS の拡張です。応答が正しい権限をもつサーバから送られたものであり、途中で書き換えられていないことを確かめられるので、偽の応答をキャッシュさせる攻撃への有力な対策になります。守れるのは応答の真正性と完全性であって、通信の内容を秘密にする機能はありません。何を守る仕組みなのかを軸にすると、正しい記述を見分けられます。

ほかの選択肢はなぜ違うのか

• アDNS サーバへの DoS 攻撃を防止で…：DNSSEC で確かめられるのは応答が本物かどうかで、大量の通信でサーバを止める DoS 攻撃を防ぐ機能はありません。署名が加わって応答が大きくなり、攻撃に悪用される面もあります。
• イIPsec による暗号化通信が前提となっ…：DNSSEC は応答に署名を付けて検証する仕組みで、通信の暗号化は行いません。IPsec による暗号化通信を前提とするものでもなく、通信の内容を秘密にすることは目的に入っていません。
• ウ代表的な DNS サーバの実装である B…：DNSSEC は DNS の仕様を拡張したものであり、ソフトウェアの製品ではありません。BIND などの DNS サーバの実装が DNSSEC に対応するという関係で、BIND を置き換えるものではありません。