解説

DNSSEC（DNS Security Extensions）は、DNS（ドメイン名とIPアドレスの対応を解決する仕組み）に、ディジタル署名による応答の正当性検証機能を追加した拡張仕様です。DNSの各ゾーンが、自らが管理するリソースレコード（ドメイン名とIPアドレスの対応など）にディジタル署名を付け、問い合わせ側（DNSキャッシュサーバなど）は対応する公開鍵でその署名を検証します。これにより、DNSキャッシュサーバが得た応答中のリソースレコードが、確かに正当な権威DNSサーバで管理されているものであり、途中で改ざんされていないことを検証できます。結果として、偽の応答を覚え込ませるDNSキャッシュポイズニング攻撃を防げます。選択肢aの「DNSキャッシュサーバが得た応答中のリソースレコードが、権威DNSサーバで管理されているものであり、改ざんされていないことの検証」が、DNSSECで実現できることとして正しく、正解です。他の選択肢を確認すると、通信の暗号化によるゾーン情報の漏えい防止はDNSSECの機能ではなく（DNSSECは署名による正当性検証で、通信内容の暗号化はしない）、似た文字を使うホモグラフ攻撃の防止やURLの入力誤りを悪用する攻撃の検知も、DNSSECが実現するものではありません。DNSSECは「応答の正当性（出自と完全性）を署名で検証する」点が核心です。

なぜ他の選択肢は違うのか

選択肢 イ

「権威DNSサーバとDNSキャッシュサーバとの通信を暗号化することによる、ゾーン情報の漏えいの防止」は誤りです。DNSSECはディジタル署名によって応答の正当性を検証する仕組みであり、通信内容そのものを暗号化してゾーン情報の漏えいを防ぐものではありません。DNSSECはディジタル署名で応答の正当性を検証する仕組みであり、通信内容そのものを暗号化してゾーン情報の漏えいを防ぐものではないため、この記述は誤りです。

選択肢 ウ

「長音“ー”と漢数字“一”などの似た文字をドメイン名に用いて、正規サイトのように見せかける攻撃の防止」は、ホモグラフ攻撃（似た文字を使ったなりすまし）に関するものです。DNSSECは応答の正当性を検証するもので、紛らわしいドメイン名による視覚的ななりすましを防ぐ機能はありません。似た文字を使うホモグラフ攻撃の防止に関する記述であり、応答の改ざんを検証するDNSSECには、紛らわしいドメイン名による視覚的ななりすましを防ぐ機能はありません。

選択肢 エ

「利用者のURLの入力誤りを悪用して、偽サイトに誘導する攻撃の検知」は、タイポスクワッティング（入力ミスを狙ったドメイン詐取）に関するものです。DNSSECは応答の改ざんを検証するもので、利用者の入力誤りを悪用する攻撃を検知する機能はありません。利用者の入力誤りを悪用するタイポスクワッティングに関する記述であり、応答の改ざんを検証するDNSSECには、入力誤りを悪用する攻撃を検知する機能はありません。

解くときのポイント

DNSSEC＝DNS応答（リソースレコード）にディジタル署名を付け、公開鍵で検証して出自と完全性（改ざんされていないこと）を保証。キャッシュポイズニング対策。通信の暗号化やホモグラフ攻撃・タイポスクワッティング対策ではない。