応用情報技術者試験 令和6年度 秋期 午前 問44

【正解】イ

DNSSECは、DNSで得られる情報が正規の管理者によって提供され、途中で改ざんされていないことをデジタル署名で検証する仕組みです。権威DNSサーバ側は秘密鍵を用いてリソースレコードに署名し、検証に必要な公開鍵をDNS上で公開します。DNSキャッシュサーバなどの検証側は公開鍵を使って署名を確認します。よって、DNS情報の真正性と完全性を検証するとしたイが正解です。

アの問合せごとに送信元ポート番号を変えるという説明は誤りです。これはDNSキャッシュポイズニングを困難にするための送信元ポートランダム化です。DNSSECのように署名を用いて応答内容を検証する方式ではありません。

ウの送信メールサーバのIPアドレスをDNSに登録し、受信側で照合するという説明は誤りです。これはSPFの説明です。SPFは、あるドメインからメールを送信することを許可されたサーバをDNSに登録し、送信元の詐称を検査します。

エの送信側がメールに署名し、受信側が公開鍵で検証するという説明は誤りです。これはDKIMの説明です。DKIMでは公開鍵をDNSで公開しますが、署名の対象はDNSのリソースレコードではなく電子メールです。

【ポイント】 DNSSECが保証するのはDNS応答の真正性と完全性であり、通信内容の暗号化や秘匿ではありません。 署名データはRRSIG、公開鍵はDNSKEY、親ゾーンから子ゾーンへの信頼の連鎖にはDSレコードが使われます。