令和元年度 秋期 午前Ⅱ 問18

✓ これが正解エディジタル署名によって DNS 応答の正当性を確認できる。

解説

DNSSEC は署名によって DNS 応答の正当性を確認できます。

DNSSEC は DNS の拡張で、DNS の応答に含まれる情報にデジタル署名を付け、受け取った側がその署名を検証できるようにする仕組みです。検証によって、応答が正しい管理者から出たもので、途中で書き換えられていないことを確かめられます。偽の応答をキャッシュに覚え込ませるキャッシュポイズニングへの対策として使われます。DNSSEC が守るのは応答の正当性と完全性であり、通信内容を秘密にすることではありません。見分ける軸は、DNSSEC が何を守る仕組みで、どういう種類のものかという点です。

ほかの選択肢はなぜ違うのか

• アDNS サーバへの DoS 攻撃を防止で…：DNSSEC は応答が本物かを確かめる仕組みで、大量の要求でサーバを止める DoS 攻撃は防げません。むしろ署名が加わって応答が大きくなり、反射型の攻撃で増幅に悪用されやすくなる面もあります。
• イIPsec による暗号化通信が前提となっ…：DNSSEC は通信を暗号化する仕組みではなく、IPsec による暗号化通信を前提にもしていません。署名を DNS の応答に含めて送るので、通信路を暗号化しなくても検証ができます。
• ウ代表的な DNS サーバの実装である B…：DNSSEC はプロトコルの拡張の名前であり、DNS サーバのソフトウェアの名前ではありません。BIND も DNSSEC に対応した実装なので、BIND の代わりに使うものという説明は成り立ちません。