DNSSECによる電子署名を用いたDNS応答の完全性と送信元検証

DNSSEC(DNS Security Extensions)は、公開鍵暗号に基づくディジタル署名をDNSゾーン情報(リソースレコード)に付加することにより、応答データの送信元が正当な管理者であること(真正性)および途中で改ざんされていないこと(完全性)を検証し、DNSキャッシュポイズニング攻撃を防止する技術です。したがって正解はイです。 オープンリゾルバ対策では再帰問合せの受付範囲を自組織内に限定(最小化)すべきであり、最大化するとDNSアンプ攻撃の踏み台にされます。 セカンダリサーバによる二重化は通常のDNS冗長化構成であり、DNSSEC特有の機能ではありません。 共通鍵とハッシュを用いた認証はTSIG(Transaction Signature)の説明です。

DNSSECの機能はどれか。

出典平成28年度 春期 システム監査技術者試験 午前Ⅱ 問21
ア
DNSキャッシュサーバの設定によって再帰的な問合せの受付範囲が最大になるようにする。
イ
DNSサーバから受け取るリソースレコードに対するディジタル署名を利用して,リソースレコードの送信者の正当性とデータの完全性を検証する。
ウ
ISPなどのセカンダリDNSサーバを利用してDNSコンテンツサーバを二重化することによって,名前解決の可用性を高める。
エ
共通鍵暗号技術とハッシュ関数を利用したセキュアな方法によって,DNS更新要求が許可されているエンドポイントを特定して認証する。