DNSに対するカミンスキー攻撃(Kaminsky's attack)への対策はどれか。

選択肢

• アDNSキャッシュサーバと権威DNSサーバとの計2台の冗長構成とすることによって,過負荷によるサーバダウンのリスクを大幅に低減させる。
• イSPF(Sender Policy Framework)を用いてDNSリソースレコードを認証することによって,電子メールの送信元ドメインが詐称されていないかどうかを確認する。
• ウ問合せ時の送信元ポート番号をランダム化することによって,DNSキャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。
• エプレースホルダを用いたエスケープ処理を行うことによって,不正なSQL構文によるDNSリソースレコードの書換えを防ぐ。

正解と解説

正解：ウ 問合せ時の送信元ポート番号をランダム化することによって,DNSキャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。

カミンスキー攻撃は、存在しないサブドメインへの問合せを大量に起こさせ、権威DNSサーバの応答より先に偽装応答を送り込んでキャッシュを汚染する攻撃である。偽装応答を成立させるにはトランザクションIDと問合せ元ポート番号を当てる必要があるため、送信元ポート番号をランダム化(ソースポートランダマイゼーション)して当てにくくするウが対策となる。根本的な対策としてはDNSSECによる応答の真正性検証がある。

選択肢ごとの解説

• ア冗長化は可用性の対策であって、キャッシュポイズニングは防げない。
• イSPFは電子メールの送信元ドメイン詐称対策であり、DNSキャッシュ汚染とは無関係。
• ウ正しい。ポート番号のランダム化で偽装応答の的中確率を大幅に下げる。
• エプレースホルダはSQLインジェクション対策であり、DNSの話ではない。

同じ分野の他の問題

• DNSに対するカミンスキー攻撃への対策はどれか。2025年度 春期 午前II 問4
• DNSSECに関する記述のうち、適切なものはどれか。2023年度 秋期 午前II 問13
• DNSSECで実現できることはどれか。2020年度 10月試験 午前II 問15
• DNSSECに関する記述として、適切なものはどれか。2019年度 秋期 午前II 問18
• DNSキャッシュポイズニング攻撃に対して有効な対策はどれか。2019年度 春期 午前II 問11