令和3年度 プロジェクトマネージャ試験 午前II 問25

正解：イ

AI解説

DNSSECは，DNS応答のリソースレコードに公開鍵暗号方式によるディジタル署名を付与し，受信側が署名を検証することで応答の送信者の正当性（なりすましでないこと）とデータの完全性（改ざんされていないこと）を確認できるようにする仕組みである。DNSキャッシュポイズニング対策として有効。「署名で検証」がキーワード。 ア: 再帰的問合せを受け付ける範囲を広げる設定はオープンリゾルバであり，踏み台にされる危険があるため範囲はむしろ必要最小限に制限すべきである。DNSSECの機能ではない。 イ: 正解。リソースレコードへのディジタル署名により出自の正当性と完全性を検証するというDNSSECの機能そのものである。 ウ: セカンダリDNSサーバによる権威DNSサーバの冗長化（可用性向上）の説明であり，DNSSECとは無関係。 エ: TSIGの説明である。共通鍵暗号とハッシュ関数を用いてDNS更新要求やゾーン転送の相手を認証する仕組みで，公開鍵の署名を使うDNSSECとは異なる。 💡 DNSSEC＝公開鍵の署名で「検証」，TSIG＝共通鍵で「認証」と対比して覚える。DNSSECは盗聴防止（暗号化）の機能ではない点もひっかけパターン。