プロジェクトマネージャ試験 令和3年度 秋期 午前II 問25

【正解】イ

DNSSECは、DNSの応答に含まれるリソースレコードの集合にディジタル署名を付け、検証側が公開鍵を使って署名を確認できるようにする仕組みです。これによって、そのデータが正当な管理主体から提供されたことと、途中で改ざんされていないことを検証できます。偽のDNS情報をキャッシュさせて利用者を不正なサイトへ誘導する、DNSキャッシュポイズニングなどへの対策に役立ちます。ただし、DNSSECはDNS通信の内容を暗号化して秘匿する仕組みではありません。

アの再帰的問合せを受け付ける送信元の範囲を最大にすることは誤りです。これは、外部の誰からでも再帰問合せを受け付けるオープンリゾルバに近い設定であり、DNSSECの機能ではありません。踏み台として悪用されるおそれがあるため、再帰問合せの許可範囲は必要な利用者に限定します。

ウのセカンダリDNSサーバによる二重化は誤りです。これは、権威DNSサーバの障害時にも名前解決を継続できるようにして、可用性を高める構成です。データの正当性や完全性を署名で検証する機能ではありません。

エの共通鍵とハッシュ関数を利用してDNS更新要求元を認証する機能は誤りです。これは、共有秘密鍵を用いてDNSメッセージを認証するTSIGの説明です。動的DNS更新やゾーン転送を許可する相手の認証などに利用されます。

【ポイント】 DNSSECが提供する中心的な機能は、DNSデータの出所の認証と完全性の検証です。ルートから下位のゾーンへ信頼をつなぐ「信頼の連鎖」によって検証します。機密性やサーバの可用性を提供する仕組みではない点も押さえましょう。