情報処理安全確保支援士試験 午前 無料問題 2 / 10 ・ 分野1: 科目A-1 テクノロジ系
社内の DNS キャッシュサーバで、DNSSEC による応答の検証を有効にした。これによって防げるようになることとして適切なものはどれか。
- 正規に登録されたよく似たドメイン名で作られた偽のサイトを、署名の検証で見分けて、利用者のアクセスを止める
- 権威 DNS サーバの応答になりすまして偽の IP アドレスを返す応答を、署名の検証で見破り、キャッシュに入れずに捨てる
- PC と DNS キャッシュサーバの間の問合せと応答を暗号化し、どのドメイン名を問い合わせたかを、経路上の第三者から隠す
- 大量の問合せを送りつけて DNS キャッシュサーバを応答できなくする攻撃を、署名の付いていない問合せを捨てて防ぐ
正解と解説を見る
正解: B
正解の理由
DNSSEC は、権威 DNS サーバがゾーンのデータに電子署名を付け、キャッシュサーバがその署名を公開鍵で検証する仕組みである。データの出どころと改ざんの有無を確かめられるので、偽の応答をキャッシュに入れさせる攻撃（キャッシュポイズニング）を防げる。
違う選択肢
「PC と DNS キャッシュサーバの間の問合せと応答を暗号化し、どのドメイン名を問い合わせたかを、経路上の第三者から隠す」… DNSSEC は応答に署名を付けて正しさを確かめる仕組みで、問合せや応答を暗号化しない。どの名前を問い合わせたかを隠すには、DNS の通信を暗号化する別の仕組み（DNS over HTTPS など）が要る。
「大量の問合せを送りつけて DNS キャッシュサーバを応答できなくする攻撃を、署名の付いていない問合せを捨てて防ぐ」… DNSSEC の署名は権威 DNS サーバの応答に付くもので、問合せに署名を求める仕組みではない。署名の検証はむしろ処理を増やすので、大量の問合せによるサービス妨害は防げない。
「正規に登録されたよく似たドメイン名で作られた偽のサイトを、署名の検証で見分けて、利用者のアクセスを止める」… 攻撃者が自分で正規に登録したドメイン名なら、そのゾーンに正しい署名を付けられる。DNSSEC が確かめるのは応答がそのゾーンの持ち主から改ざんされずに届いたことで、サイトが本物の会社のものかではない。
押さえどころ
DNSSEC は応答の出どころと完全性を守るが、機密性（中身を隠すこと）は目的にしていない。上位のゾーンから順に鍵の正しさをたどって確かめる（信頼の連鎖）ので、途中のゾーンが署名していないと検証できない。