問題 No.4146
DNSにおける応答の偽装やキャッシュポイズニングなどの攻撃を防ぐため、DNSレコードにデジタル署名を付与し、DNS情報の信頼性や完全性を検証できるようにする技術はどれか。
【正解の解説】
DNSSEC
ハンコや身分証明書のようなもので、届いた手紙の差出人が本物で、途中で中身が書き換えられていないかをピタリと確認できる仕組みです。インターネットの住所録であるDNSにおいて、偽の誘導サイトへ連れていかれるキャッシュポイズニング攻撃などの脅威から私たちを守ってくれる強力なセキュリティ拡張です。
スポンサーリンク
【その他の選択肢の解説】
DNS over HTTPS
DNSSECが「情報の信頼性（中身が本物か）」を保証するのに対し、DNS over HTTPSは「通信の秘密（盗聴されないか）」を守るためのもので、目的のレイヤーが異なります。試験では名前の響きやDNSという共通ワードで混同させやすいため、署名による検証か暗号化された通信経路かという違いをしっかり見極めましょう。
SNI (Server Name Indication)
Webサーバーがどのドメイン宛の通信かを判断するために使われるものであり、DNSの仕組みやセキュリティとは直接関係ありません。DNSSECと名前は似ていませんが、アルファベットの略語という共通点だけで初学者がパニックになりやすい選択肢として出題されるため、Web通信の仕組みであることを確実に切り分けておきましょう。
IPsec (IP security protocol)
VPNなどで広く利用されるネットワーク全体のセキュリティ技術であり、特定のDNSレコードの偽装を防ぐ専用の仕組みではありません。セキュリティ技術という大きな括りは同じですが、DNSというアプリケーション層の信頼性確保を目的としたDNSSECとは適用するレイヤーと役割が根本的に異なる点に注意してください。