DNSSECに関する記述のうち、適切なものはどれか。

選択肢

• ア権威DNSサーバが、DNS問合せに対する応答時に、リソースレコードを公開鍵暗号方式で暗号化することによって、通信経路上の盗聴を防ぐ。
• イ権威DNSサーバが、リソースレコードの受信時にデジタル署名を検証することによって、データの作成元の正当性とデータの完全性を確認する。
• ウリゾルバが、DNS問合せに対する応答時に、リソースレコードを公開鍵暗号方式で暗号化することによって、通信経路上の盗聴を防ぐ。
• エリゾルバが、リソースレコードの受信時にデジタル署名を検証することによって、データの作成元の正当性とデータの完全性を確認する。

正解と解説

正解：エ リゾルバが、リソースレコードの受信時にデジタル署名を検証することによって、データの作成元の正当性とデータの完全性を確認する。

DNSSECでは、権威DNSサーバがゾーンのリソースレコードに秘密鍵で署名し、その署名（RRSIG）と公開鍵（DNSKEY）を応答に含める。検証を行うのは問合せ側であるリゾルバで、上位ゾーンからの信頼の連鎖をたどって鍵の正当性を確かめ、署名を検証することでデータの作成元の正当性と完全性を確認する。応答の暗号化は行わないので、盗聴の防止は目的に含まれない。

選択肢ごとの解説

• アDNSSECはレコードを暗号化しないため、盗聴防止は実現しない。
• イ署名を付けるのが権威サーバ、検証するのはリゾルバであり、役割が逆である。
• ウリゾルバは応答を作る側ではなく、また暗号化も行わない。
• エ正解。リゾルバが署名を検証して作成元の正当性と完全性を確認する。

同じ分野の他の問題

• DNSに対するカミンスキー攻撃への対策はどれか。2025年度 春期 午前II 問4
• DNSに対するカミンスキー攻撃(Kaminsky's attack)への対策はどれか。2023年度 春期 午前II 問5
• DNSSECで実現できることはどれか。2020年度 10月試験 午前II 問15
• DNSSECに関する記述として、適切なものはどれか。2019年度 秋期 午前II 問18
• DNSキャッシュポイズニング攻撃に対して有効な対策はどれか。2019年度 春期 午前II 問11