平成28年度 春期 システム監査技術者試験 午前Ⅱ 問21
テクノロジ／セキュリティDNSSECの機能はどれか。
出典：平成28年度 春期 システム監査技術者試験 午前Ⅱ 問21
- アDNSキャッシュサーバの設定によって再帰的な問合せの受付範囲が最大になるようにする。
- イDNSサーバから受け取るリソースレコードに対するディジタル署名を利用して，リソースレコードの送信者の正当性とデータの完全性を検証する。
- ウISPなどのセカンダリDNSサーバを利用してDNSコンテンツサーバを二重化することによって，名前解決の可用性を高める。
- エ共通鍵暗号技術とハッシュ関数を利用したセキュアな方法によって，DNS更新要求が許可されているエンドポイントを特定して認証する。
正解：イ
解説
DNSSEC（DNS Security Extensions）は，DNSの応答（リソースレコード）に対して公開鍵暗号方式によるディジタル署名を付加し，DNSサーバから受け取ったリソースレコードについて，送信者（権威DNSサーバ）の正当性とデータが改ざんされていないことの完全性を検証できるようにする仕組みである。再帰的な問合せの受付範囲の設定はキャッシュポイズニング対策としてのDNSサーバの設定に関する事項，セカンダリDNSサーバによる二重化は可用性向上のための冗長化構成，共通鍵暗号とハッシュ関数を用いたDNS更新要求の認証はTSIG（Transaction Signature）の機能であり，いずれもDNSSECの機能そのものの説明ではない。
選択肢ごとの解説
- ア誤り。DNSキャッシュサーバの設定によって再帰的な問合せの受付範囲を最大にすることは，むしろキャッシュポイズニングなどのリスクを高める設定であり，DNSSECの機能ではありません。
- イ正しい。DNSサーバから受け取るリソースレコードに対するディジタル署名を利用して，送信者の正当性とデータの完全性を検証することが，DNSSECの機能です。
- ウ誤り。セカンダリDNSサーバを利用してDNSコンテンツサーバを二重化し，名前解決の可用性を高めることは，冗長化構成に関する説明であり，DNSSECの機能ではありません。
- エ誤り。共通鍵暗号技術とハッシュ関数を利用してDNS更新要求の許可されたエンドポイントを認証する仕組みはTSIGの機能であり，DNSSECの機能ではありません。