令和4年度 春期 午前Ⅱ 問13
ネットワークセキュリティ
DNSSECで実現できること
DNSSEC で実現できることはどれか。
- アDNS キャッシュサーバが得た応答中のリソースレコードが，権威 DNS サーバで管理されているものであり，改ざんされていないことの検証
- イ権威 DNS サーバと DNS キャッシュサーバとの通信を暗号化することによる，ゾーン情報の漏えいの防止
- ウ長音“ー”と漢数字“一”などの似た文字をドメイン名に用いて，正規サイトのように見せかける攻撃の防止
- エ利用者の URL の入力誤りを悪用して，偽サイトに誘導する攻撃の検知
答えと解説を見る
✓ これが正解アDNS キャッシュサーバが得た応答中のリソースレコードが，権威 DNS サーバで管理されているものであり，改ざんされていないことの検証
解説
応答が権威 DNS サーバのもので、改ざんされていないことを検証できます。
DNSSEC は、DNS の応答に含まれるリソースレコードにデジタル署名を付ける仕組みです。DNS キャッシュサーバは、受け取った応答の署名を検証することで、そのレコードが権威 DNS サーバで管理されている本物であり、途中で改ざんされていないことを確かめられます。これにより、偽の応答を送り込むキャッシュポイズニングのような攻撃を見破れます。DNSSEC が守るのは、データの出どころと完全性です。守る範囲がこの 2 つに限られる点を押さえておくと、選択肢を見分けやすくなります。
ほかの選択肢はなぜ違うのか
- イ権威 DNS サーバと DNS キャッシ…：DNSSEC は署名を付けて検証するだけで、サーバ間の通信を暗号化しません。やり取りの中身は読める状態のままなので、ゾーン情報の漏えいを防ぐ役には立ちません。
- ウ長音“ー”と漢数字“一”などの似た文字を…：似た文字を使ったドメイン名は、正規とは別に登録された本物のドメインです。そのドメインの持ち主が正しく署名すれば検証は通るので、署名の仕組みではこの攻撃を防げません。
- エ利用者の URL の入力誤りを悪用して，…：入力誤りを狙った偽サイトも、攻撃者が正規に登録したドメインで運用されます。署名の検証はそのドメインの応答が本物かを確かめるだけで、利用者の入力誤りまでは検知できません。
この問題の用語
- DNS人が読む名前と、機械が使う住所を対応づけて教えてくれる仕組み。これがないと、名前でつなぐことができません。
- キャッシュ一度取り寄せた内容を手元に置いて、次から早く使えるようにする仕組み。CPUとメモリの間や、ブラウザ、DNSなど、さまざまな場所で使われます。
- 改ざん保管や送信の途中で、内容を許されずに書き換えること。完全性が損なわれますが、電子署名などを使えば起きたことを見つけられます。
- 暗号化内容を鍵がなければ読めない形に変換すること。通信の経路だけでは守りきれない場合があるので、ファイル自体にも施します。
- ドメイン名インターネット上の場所を、人が読める形で表した名前。通信するときはIPアドレスに変換してから使われます。
- URLインターネット上の場所を表す住所の文字列です。指したページがサーバに無いときは、404という番号のエラーが返ります。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問13
同じ用語が出る問題
- 令和7年度 秋期 午前Ⅱ 問8：ドメインフロンティングの問題（キャッシュ）
- 令和7年度 春期 午前Ⅱ 問15：ARPキャッシュに関する問題（キャッシュ）
- 令和7年度 春期 午前Ⅱ 問4：カミンスキー攻撃への対策（DNS）
- 平成29年度 春期 午前Ⅱ 問6：DNS水責め攻撃に関する問題（ドメイン名）
- 平成28年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問18（ドメイン名）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）