解説

DNSSEC（DNS Security Extensions）はDNSに電子署名による認証機能を追加する拡張機能です。DNSSECはDNSキャッシュポイズニング攻撃への対策として開発されました。DNSキャッシュサーバが権威DNSサーバから受け取ったDNS応答（リソースレコード）に対して、電子署名（RRSIG）を検証することで、その応答が正規の権威DNSサーバによって生成されたものであり、改ざんされていないことを確認できます。権威DNSサーバが自身の秘密鍵でリソースレコードに署名し、公開鍵（DNSKEY）をDNSツリーで配布します。DNSキャッシュサーバは署名を検証してレコードの正当性を確認します。この仕組みによりDNSキャッシュポイズニング（偽のDNS応答の注入）を防止できます。

なぜ他の選択肢は違うのか

選択肢 イ

権威DNSサーバとDNSキャッシュサーバ間の通信を暗号化するのはDNS over TLS（DoT）やDNS over HTTPS（DoH）です。DNSSECはゾーン情報の暗号化ではなく、電子署名による真正性・完全性の検証を提供します。

選択肢 ウ

似た文字（長音符・漢数字等）を使ったドメイン名偽装攻撃（IDN（国際化ドメイン名）ホモグラフ攻撃）の防止はDNSSECでは対応できません。この種の攻撃はブラウザのUIや認証機能での対策が必要です。

選択肢 エ

URLの入力誤りを悪用した偽サイト誘導攻撃（タイポスクワッティング）の検知もDNSSECの機能ではありません。DNSSECはDNSの応答の正当性を検証しますが、類似ドメインへの誘導はDNSの解決自体は正常に行われるためDNSSECでは防げません。

解くときのポイント

DNSSEC＝DNS応答に電子署名→権威サーバのレコードが改ざんされていないことをキャッシュサーバが検証。キャッシュポイズニング対策。