令和5年度 秋期 応用情報技術者試験 午前 問45
テクノロジ／セキュリティDNSSEC についての記述のうち，適切なものはどれか。
出典：令和5年度 秋期 応用情報技術者試験 午前 問45
- アDNS サーバへの問合せ時の送信元ポート番号をランダムに選択することによって，DNS 問合せへの不正な応答を防止する。
- イDNS の再帰的な問合せの送信元として許可するクライアントを制限することによって，DNS を悪用した DoS 攻撃を防止する。
- ウ共通鍵暗号方式によるメッセージ認証を用いることによって，正当な DNS サーバからの応答であることをクライアントが検証できる。
- エ公開鍵暗号方式によるデジタル署名を用いることによって，正当な DNS サーバからの応答であることをクライアントが検証できる。
正解：エ
解説
DNSSEC は，DNS の応答に公開鍵暗号方式によるデジタル署名を付与し，クライアント（リゾルバ）がその署名を検証することによって，応答が正当な DNS サーバから送られ改ざんされていないことを確認できるようにする仕組みです。DNS キャッシュポイズニング対策として有効です。
選択肢ごとの解説
- ア誤り。送信元ポート番号のランダム化はキャッシュポイズニングを緩和する別の対策（ソースポートランダマイゼーション）です。
- イ誤り。再帰的問合せの送信元制限はオープンリゾルバ対策であり，DNSSEC の仕組みではありません。
- ウ誤り。DNSSEC は共通鍵ではなく公開鍵暗号方式によるデジタル署名を用います。
- エ正しい。公開鍵暗号方式のデジタル署名によって応答の出所と完全性を検証できるのが DNSSEC です。