DNSSECとは？
DNSSECとは、DNSの応答にデジタル署名を付け、リゾルバが署名を検証することで、応答の出所の正当性と改ざんされていないこと（完全性）を確認できるようにする拡張。ルートから順に鍵を辿る信頼の連鎖で検証する。存在しないことの証明（不在証明）も行える。
情報処理安全確保支援士試験の過去問では9回出題されています（2016年度〜2025年度）。
でぃーえぬえすせっく
DNSSECの意味
DNSの応答にデジタル署名を付け、リゾルバが署名を検証することで、応答の出所の正当性と改ざんされていないこと（完全性）を確認できるようにする拡張。ルートから順に鍵を辿る信頼の連鎖で検証する。存在しないことの証明（不在証明）も行える。
DNSSECの具体例
自社ドメインにDNSSECを導入し、KSKの更新は年1回、ZSKは3か月ごとに自動化した。署名の有効期限が切れると検証側で名前解決そのものが失敗し全サービスが止まるため、期限までの残日数を監視の最優先アラートに加える運用とした。
DNSSECは試験でどう引っ掛けられる？
DNSSECは応答を暗号化しない（機密性は提供しない）。通信内容を秘匿したい場合はDoT／DoHを使う。キャッシュポイズニングの根本対策になる点が要点。
DNSSECと関連する用語
DNSSECが出た過去問
DNSSECで実現できることはどれか。
正解：DNSキャッシュサーバが得た応答中のリソースレコードが，権威DNSサーバで管理されているものであり，改ざんされていないことの検証
要点：DNSSECは署名で応答の出所と完全性を検証する
DNSSECは、DNSの各リソースレコードにディジタル署名を付け、権威DNSサーバが管理する正当なデータであること、および改ざんされていないことを検証できるようにする仕組みです。信頼の連鎖を親ゾーンから辿って公開鍵の正当性を確認します。通信の暗号化は行わないので、内容の秘匿はできません。
出典：平成28年度 秋期 情報処理安全確保支援士試験 am2 問13（IPA）DNSに対するカミンスキー攻撃（Kaminsky's attack）への対策はどれか。
正解：問合せ時の送信元ポート番号をランダム化することによって，DNSキャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。
要点：カミンスキー攻撃対策は送信元ポートのランダム化
カミンスキー攻撃は、存在しないサブドメインへの問合せを大量に発生させ、権威DNSサーバより先に偽の応答を返してキャッシュを汚染するDNSキャッシュポイズニングの手法である。偽装成功にはトランザクションIDと問合せ送信元ポート番号の一致が必要なため、送信元ポートをランダム化して探索空間を広げることが基本的な緩和策となる。根本的な対策としてはDNSSECによる応答の正当性検証がある。
出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問6（IPA）DNSSECで実現できることはどれか。
正解：DNSキャッシュサーバが得た応答中のリソースレコードが,権威DNSサーバで管理されているものであり,改ざんされていないことの検証
要点：DNSSECは署名で応答の出所と完全性を検証する
DNSSECは、各リソースレコードにゾーンの秘密鍵で作った署名（RRSIG）を付け、信頼の連鎖をたどって検証できるようにする拡張である。これによりキャッシュサーバは、受け取った応答が正規の権威サーバが用意した内容であり途中で差し替えられていないことを確認でき、キャッシュポイズニングを防げる。あくまで出所と完全性の保証であって、通信内容を秘匿するものではない。
出典：平成30年度 春期 情報処理安全確保支援士試験 am2 問16（IPA）DNSSECに関する記述として、適切なものはどれか。
正解：ディジタル署名によってDNS応答の正当性を確認できる。
要点：DNSSECは署名検証でDNS応答の正当性を保証する
DNSSECは、DNSの応答レコードに公開鍵暗号によるディジタル署名を付与し、リゾルバ側で署名を検証することで、応答が正当な権威サーバに由来し改ざんされていないことを確認する仕組みである。これによりDNSキャッシュポイズニングを防げる。応答内容そのものは暗号化されず、機密性やDoS耐性を与えるものではない点に注意する。
出典：令和1年度 秋期 情報処理安全確保支援士試験 am2 問18（IPA）DNSSECで実現できることはどれか。
正解：DNSキャッシュサーバが得た応答中のリソースレコードが、権威DNSサーバで管理されているものであり、改ざんされていないことの検証
要点：DNSSECは署名で応答の出所と完全性を検証する
DNSSECは、各リソースレコードにゾーンの秘密鍵で作った署名を付け、上位ゾーンからの信頼の連鎖をたどって検証できるようにする拡張である。これによりキャッシュサーバは、受け取った応答が正規の権威サーバに由来し途中で差し替えられていないことを確認でき、キャッシュポイズニングを防げる。出所と完全性の保証であって、内容の秘匿を行うものではない。
出典：令和2年度 10月 情報処理安全確保支援士試験 am2 問15（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。