解説

DNSSEC（DNS Security Extensions）はDNS応答の完全性と認証を確保するための拡張仕様で、「リゾルバが、リソースレコードの受信時にデジタル署名を検証することによって、データの作成元の正当性とデータの完全性を確認する」（d：正解）。重要な点は：①暗号化ではなく署名による完全性保護（盗聴防止はDNS-over-HTTPS/TLSが担う）、②署名を行うのは権威DNSサーバ（ゾーン管理者）側、③検証を行うのはリゾルバ（クライアント側）。権威DNSサーバはゾーンのリソースレコードにデジタル署名（RRSIG）を付加し、リゾルバはDNSKEYレコードを用いて署名を検証することで、DNSキャッシュポイズニング攻撃（偽の応答を注入する攻撃）を防ぐことができる。信頼の連鎖はルートゾーン（IANA）から委任を辿るDNSSECチェーンで確保される。

なぜ他の選択肢は違うのか

選択肢 ア

「権威DNSサーバがリソースレコードを公開鍵暗号方式で暗号化することで盗聴を防ぐ」は誤り。DNSSECは暗号化ではなくデジタル署名による完全性保護を行う。DNS通信の暗号化（盗聴防止）はDNS-over-HTTPS（DoH）やDNS-over-TLS（DoT）が担う別技術である。

選択肢 イ

「権威DNSサーバがリソースレコードの受信時にデジタル署名を検証する」は役割が逆。権威DNSサーバは署名を付与（生成）する側であり、署名を検証するのはリゾルバ（キャッシュDNSサーバやスタブリゾルバ）である。本選択肢は主語と動作が混在している。

選択肢 ウ

「リゾルバが応答時にリソースレコードを公開鍵暗号方式で暗号化し盗聴を防ぐ」は誤り。リゾルバは署名の検証を行う側であり、暗号化は行わない。また盗聴防止はDNSSECの目的ではなく、完全性・認証が主目的である。

解くときのポイント

DNSSEC vs DoT/DoH: DNSSEC（署名による改ざん検出）、DoT（DNS通信をTLSで暗号化・ポート853）、DoH（HTTPS経由でDNS・ポート443）。改ざん検出と傍受防止は別の技術。