平成28年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問13
ネットワークセキュリティ
DNSSECで実現できること
DNSSEC で実現できることはどれか。
- アDNS キャッシュサーバが得た応答中のリソースレコードが，権威 DNS サーバで管理されているものであり，改ざんされていないことの検証
- イ権威 DNS サーバと DNS キャッシュサーバとの通信を暗号化することによる，ゾーン情報の漏えいの防止
- ウ長音“ー”と漢数字“一”などの似た文字をドメイン名に用いて，正規サイトのように見せかける攻撃の防止
- エ利用者の URL の打ち間違いを悪用して，偽サイトに誘導する攻撃の検知
答えと解説を見る
✓ これが正解アDNS キャッシュサーバが得た応答中のリソースレコードが，権威 DNS サーバで管理されているものであり，改ざんされていないことの検証
解説
応答が権威 DNS サーバのもので、改ざんされていないことを検証します。
DNSSEC は、DNS の応答にデジタル署名を付けて、その正しさを確かめられるようにする仕組みです。権威 DNS サーバは、管理するリソースレコードに署名を付けて応答します。DNS キャッシュサーバは、受け取った応答の署名を検証し、正しい権威 DNS サーバから来たもので、途中で書き換えられていないことを確かめます。これにより、偽の情報をキャッシュに覚え込ませる攻撃を防げます。見分けの軸は、DNSSEC が守るのは応答の出どころと完全性であり、秘匿ではないという点です。
ほかの選択肢はなぜ違うのか
- イ権威 DNS サーバと DNS キャッシ…：DNSSEC は署名を付けて検証するだけで、通信の中身を暗号化する機能は持っていません。応答の内容は誰でも読める状態で流れるので、ゾーン情報の漏えいを暗号化によって防ぐことはできません。
- ウ長音“ー”と漢数字“一”などの似た文字を…：見た目の似た文字を使ったドメイン名でも、正規に登録されていれば、その持ち主が正しく署名を付けられます。署名の検証は通ってしまうので、似た文字で利用者の目をだます攻撃は防げません。
- エ利用者の URL の打ち間違いを悪用して…：URL の打ち間違いにつけ込む偽サイトも、ドメイン名そのものは正規に登録されたものです。応答が書き換えられていないかを確かめる仕組みでは、利用者が別の名前を入力したこと自体は見抜けません。
この問題の用語
- DNS人が読む名前と、機械が使う住所を対応づけて教えてくれる仕組み。これがないと、名前でつなぐことができません。
- キャッシュ一度取り寄せた内容を手元に置いて、次から早く使えるようにする仕組み。CPUとメモリの間や、ブラウザ、DNSなど、さまざまな場所で使われます。
- 改ざん保管や送信の途中で、内容を許されずに書き換えること。完全性が損なわれますが、電子署名などを使えば起きたことを見つけられます。
- 暗号化内容を鍵がなければ読めない形に変換すること。通信の経路だけでは守りきれない場合があるので、ファイル自体にも施します。
- ドメイン名インターネット上の場所を、人が読める形で表した名前。通信するときはIPアドレスに変換してから使われます。
- URLインターネット上の場所を表す住所の文字列です。指したページがサーバに無いときは、404という番号のエラーが返ります。
出典：平成28年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問13
同じ用語が出る問題
- 令和7年度 秋期 午前Ⅱ 問8：ドメインフロンティングの問題（キャッシュ）
- 令和7年度 春期 午前Ⅱ 問15：ARPキャッシュに関する問題（キャッシュ）
- 令和7年度 春期 午前Ⅱ 問4：カミンスキー攻撃への対策（DNS）
- 令和4年度 春期 午前Ⅱ 問13：DNSSECで実現できること（ドメイン名）
- 平成29年度 春期 午前Ⅱ 問6：DNS水責め攻撃に関する問題（ドメイン名）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）