情報処理安全確保支援士試験 令和5年度 秋期 午前II 問13

【正解】エ

DNSSECは、DNSの応答データに付けられたデジタル署名を検証し、データの作成元が正当であることと、途中で改ざんされていないことを確認する仕組みです。権威DNSサーバは署名付きのリソースレコードを提供し、それを受信した検証機能をもつリゾルバが公開鍵を用いて署名を検証します。したがって、リゾルバが受信時に正当性と完全性を確認するとしたエが適切です。

アの説明は誤りです。DNSSECではリソースレコード自体を暗号化しないので、通信経路上の盗聴は防げません。権威DNSサーバは、暗号化された応答ではなく、デジタル署名を伴う応答を返します。

イの説明は誤りです。署名を検証する主体は、通常、署名付き応答を受信するリゾルバです。権威DNSサーバは、自らが管理するゾーン情報に対応する署名を提供します。

ウの説明は誤りです。リゾルバが応答データを暗号化する仕組みではなく、DNSSECの目的も盗聴防止ではありません。DNS通信の暗号化には、DoTやDoHなどが用いられます。

【ポイント】 DNSSECが保証するのは、DNSデータの作成元の正当性と完全性であり、機密性ではありません。 DNSKEYレコードとDSレコードによって、上位ゾーンから信頼の連鎖を構築します。