平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問16

解説

DNSSEC（DNS Security Extensions）は，DNS の応答に公開鍵暗号方式によるディジタル署名を付加する仕組みです。権威 DNS サーバは，自らが管理するゾーン情報（リソースレコード）に対してディジタル署名を付与して応答し，DNS キャッシュサーバは，その署名を検証することによって，受け取った応答中のリソースレコードが，正当な権威 DNS サーバによって管理されているものであり，通信経路の途中で改ざんされていないことを確認できます。これにより，DNS キャッシュポイズニングなどによる偽の応答を検知できるようになります。なお，DNSSEC はゾーン情報の内容そのものを暗号化して漏えいを防ぐものではなく，また，似た文字を使ったドメイン名の偽装（IDN ホモグラフ攻撃）や，URL の入力誤りを悪用したタイポスクワッティングを検知・防止する仕組みでもありません。

選択肢ごとの解説

• ア正しい。DNS キャッシュサーバが得た応答中のリソースレコードが，権威 DNS サーバで管理されているものであり，改ざんされていないことを検証できるのが DNSSEC です。
• イ誤り。DNSSEC は，DNS の応答内容にディジタル署名を付加して真正性を検証する仕組みであり，権威 DNS サーバと DNS キャッシュサーバとの通信そのものを暗号化してゾーン情報の漏えいを防ぐ仕組みではありません。
• ウ誤り。長音“ー”と漢数字“一”などの似た文字をドメイン名に用いて正規サイトのように見せかける攻撃（IDN ホモグラフ攻撃など）の防止は，DNSSEC で実現できることではありません。
• エ誤り。利用者の URL の入力誤りを悪用して偽サイトに誘導する攻撃（タイポスクワッティング）の検知は，DNSSEC で実現できることではありません。