平成30年度 春期 午前Ⅱ 問16

✓ これが正解アDNS キャッシュサーバが得た応答中のリソースレコードが，権威 DNS サーバで管理されているものであり，改ざんされていないことの検証

解説

DNSSEC は、応答が正規のもので改ざんされていないことを検証します。

DNSSEC は、DNS の応答にデジタル署名を付けて、その正しさを確かめられるようにする仕組みです。権威 DNS サーバは、管理するリソースレコードに署名を付けます。DNS キャッシュサーバは、受け取った応答の署名を公開鍵で検証し、その内容が権威 DNS サーバで管理されているものか、途中で改ざんされていないかを確かめます。偽の応答をキャッシュに覚え込ませるキャッシュポイズニングへの対策になります。DNSSEC が提供するのは応答の出どころと完全性の確認です。何を確かめる仕組みなのかが、判断の軸になります。

ほかの選択肢はなぜ違うのか

• イ権威 DNS サーバと DNS キャッシ…：DNSSEC は応答に署名を付けて検証する仕組みで、通信の内容を暗号化する機能は持っていません。そのため、権威 DNS サーバとの通信からゾーン情報が漏れるのを防ぐことはできません。
• ウ長音“ー”と漢数字“一”などの似た文字を…：見た目の似た文字をドメイン名に使う攻撃では、そのドメイン名自体は正しく登録されています。応答も正規のものなので、署名の検証を行っても偽サイトと見抜くことはできません。
• エ利用者の URL の入力誤りを悪用して，…：URL の入力誤りを狙って偽サイトに誘導する攻撃も、誤って入力されたドメイン名が正しく登録されていれば成立します。DNSSEC の署名の検証では、この誘導は検知できません。