解説

DNSSEC（DNS Security Extensions）は、DNS（ドメイン名とIPアドレスの対応を解決する仕組み）に、ディジタル署名による応答の正当性検証の機能を追加した拡張仕様です。通常のDNSには応答の真正性を保証する仕組みがないため、DNSキャッシュポイズニング攻撃のように偽の応答を覚え込ませることが可能でした。DNSSECでは、DNSの各ゾーンが自らの応答（リソースレコード）にディジタル署名を付け、問い合わせ側は対応する公開鍵でその署名を検証します。これにより、DNS応答が正当な権威サーバから返され、途中で改ざんされていないことを確認でき、偽の応答を受け入れてしまうことを防げます。選択肢dの「ディジタル署名によってDNS応答の正当性を確認できる」が、DNSSECの説明として正しく、正解です。他の選択肢を確認すると、DNSSECはDNSサーバへのDoS攻撃を防ぐものではなく、IPsecを前提とするものでもなく、BIND（DNSサーバの実装ソフトウェア）の代替となるものでもありません。DNSSECはあくまで「応答の正当性（出自と完全性）を署名で保証する」仕組みであり、通信の暗号化やサービス妨害への対策とは目的が異なる点を押さえましょう。

なぜ他の選択肢は違うのか

選択肢 ア

「DNSサーバへのDoS攻撃を防止できる」は誤りです。DNSSECはDNS応答の正当性を署名で検証する仕組みであり、DNSサーバに大量のリクエストを送って機能を妨害するDoS攻撃を防ぐものではありません。むしろ署名検証で処理負荷が増す側面もあります。DNSSECは応答の正当性を署名で検証する仕組みであり、大量のリクエストで機能を妨害するDoS攻撃を防ぐものではなく、むしろ署名検証で処理負荷が増す側面もあります。

選択肢 イ

「IPsecによる暗号化通信が前提となっている」は誤りです。DNSSECはディジタル署名によって応答の正当性を保証する仕組みであり、IPsecによる通信の暗号化を前提とするものではありません。DNSSEC自体は通信内容を暗号化するものでもありません。DNSSECはディジタル署名で応答の正当性を保証する仕組みであり、IPsecによる通信の暗号化を前提とするものでも、通信内容を暗号化するものでもありません。

選択肢 ウ

「代表的なDNSサーバの実装であるBINDの代替として使用する」は誤りです。BINDはDNSサーバのソフトウェア実装の一つであり、DNSSECはそのBINDなどのDNSサーバ上で動作する、応答の正当性検証のための拡張仕様です。BINDの代替となるものではありません。BINDはDNSサーバのソフトウェア実装の一つであり、DNSSECはそのBINDなどのDNSサーバ上で動作する応答検証の拡張仕様で、BINDの代替となるものではありません。

解くときのポイント

DNSSEC＝DNS応答にディジタル署名を付け、公開鍵で検証して応答の正当性（出自・完全性）を保証。キャッシュポイズニング対策になる。DoS対策でも通信暗号化でもなく、BIND（DNSサーバ実装）の代替でもない。