令和2年度 10月 午前Ⅱ 問15

✓ これが正解アDNS キャッシュサーバが得た応答中のリソースレコードが，権威 DNS サーバで管理されているものであり，改ざんされていないことの検証

解説

署名の検証で、応答が権威サーバ由来で改ざんが無いと確かめます。

DNSSEC は、DNS の応答に含まれるリソースレコードに、権威 DNS サーバの側でデジタル署名を付ける仕組みです。応答を受け取った DNS キャッシュサーバは、公開鍵でその署名を検証します。検証に成功すれば、そのレコードが正規の権威 DNS サーバで管理されているものであり、途中で改ざんされていないことが確かめられます。偽の応答をキャッシュに覚え込ませる攻撃への対策として使われます。DNSSEC が守るのは、データの出所と完全性の二つです。この二つ以外の性質を求める選択肢は、DNSSEC の働きの外にあります。

ほかの選択肢はなぜ違うのか

• イ権威 DNS サーバと DNS キャッシ…：DNSSEC は署名を付けて検証するだけで、権威 DNS サーバとキャッシュサーバの間の通信を暗号化しません。やり取りの中身は第三者からも見えるので、ゾーン情報の漏えいを防ぐ手段にはなりません。
• ウ長音“ー”と漢数字“一”などの似た文字を…：長音と漢数字のような似た文字を使ったドメイン名は、それ自体が正規に登録された名前です。その名前の応答にも正しい署名が付き得るので、署名の検証では見分けられず、この攻撃は防げません。
• エ利用者の URL の入力誤りを悪用して，…：入力誤りを狙った偽サイトのドメイン名も、正規の手続で登録されていれば署名の検証を通ります。DNSSEC は応答の改ざんを見つける仕組みで、利用者がどの名前を入力したかの誤りまでは判断しません。