平成31年度 春期 応用情報技術者試験 午前 問40
テクノロジ／セキュリティDNSSEC についての記述のうち，適切なものはどれか。
出典：平成31年度 春期 応用情報技術者試験 午前 問40
- アDNS サーバへの問合せ時の送信元ポート番号をランダムに選択することによって，DNS 問合せへの不正な応答を防止する。
- イDNS の再帰的な問合せの送信元として許可するクライアントを制限することによって，DNS を悪用した DoS 攻撃を防止する。
- ウ共通鍵暗号方式によるメッセージ認証を用いることによって，正当な DNS サーバからの応答であることをクライアントが検証できる。
- エ公開鍵暗号方式によるディジタル署名を用いることによって，正当な DNS サーバからの応答であることをクライアントが検証できる。
正解：エ
解説
DNSSEC（DNS Security Extensions）は，DNS の応答に公開鍵暗号方式によるディジタル署名を付加する拡張仕様です。クライアント（リゾルバ）は公開鍵で署名を検証することによって，応答が正当な DNS サーバから発信され，途中で改ざんされていないことを確認できます。
選択肢ごとの解説
- ア誤り。問合せ時の送信元ポート番号をランダム化するのはソースポートランダマイゼーションという別の対策です。
- イ誤り。再帰的な問合せを許可するクライアントを制限するのは，オープンリゾルバ対策の説明です。
- ウ誤り。DNSSEC が用いるのは共通鍵暗号によるメッセージ認証ではなく，公開鍵暗号方式によるディジタル署名です。
- エ正しい。公開鍵暗号方式によるディジタル署名を用いて，応答の出自と完全性をクライアントが検証できるようにします。