平成29年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問19
テクノロジ／セキュリティDNSSEC の機能はどれか。
出典：平成29年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問19
- アDNS キャッシュサーバの設定によって再帰的な問合せを受け付ける送信元の範囲が最大になるようにする。
- イDNS サーバから受け取るリソースレコードに対するディジタル署名を利用して，リソースレコードの送信者の正当性とデータの完全性を検証する。
- ウISP などのセカンダリ DNS サーバを利用して DNS コンテンツサーバを二重化することによって，名前解決の可用性を高める。
- エ共通鍵暗号技術とハッシュ関数を利用したセキュアな方法によって，DNS 更新要求が許可されているエンドポイントを特定して認証する。
正解：イ
解説
DNSSEC は，公開鍵暗号によるディジタル署名を DNS のリソースレコードに付与し，受信側がその署名を検証することで，応答データの送信者が正当なゾーン管理者であることと，通信経路上で改ざんされていないことを確認できる仕組みです。これにより，キャッシュポイズニングなどの偽の応答による攻撃を防ぐことができます。
選択肢ごとの解説
- ア誤り。再帰的問合せを受け付ける範囲を広げることは，かえって DNS amp 攻撃の踏み台になりやすくする設定であり，DNSSEC の機能ではありません。
- イ正しい。リソースレコードに対するディジタル署名を利用して，送信者の正当性とデータの完全性を検証するのが DNSSEC の機能です。
- ウ誤り。セカンダリ DNS サーバによる二重化は可用性向上の一般的な冗長化手法であり，DNSSEC 固有の機能ではありません。
- エ誤り。共通鍵暗号とハッシュ関数による DNS 更新要求の認証は TSIG（Transaction Signature）の説明です。