DNSSECによるDNS応答レコードの真正性検証

DNSSEC（DNS Security Extensions）は，DNS における名前解決情報の正当性・完全性を保証するための拡張技術です。 権威 DNS サーバが応答データ（リソースレコードセット）に対して公開鍵暗号方式によるデジタル署名（RRSIG レコード）を付与し，キャッシュ DNS サーバ（リゾルバ）が DNSKEY レコードの公開鍵を用いて署名を検証することで，偽の応答データの注入（DNS キャッシュポイズニング）やデータ改ざんを確実に検知・防止します。したがって正解はエとなります。 各選択肢の解説は以下のとおりです。 ソースポートランダマイゼーション（Source Port Randomization）の説明です。問合せ元ポート番号をランダム化して推測を困難にする対策です。 オープンリゾルバ（Open Resolver）の制限に関する説明です。外部からの再帰問合せを拒否することで，DNS アンプ攻撃（DDoS 攻撃）の踏み台化を防止します。 DNSSEC は公開鍵暗号方式（デジタル署名）を採用しています。共通鍵暗号方式によるメッセージ認証は DNSSEC の仕組みではありません（TSIG はサーバ間ゾーン転送の認証に共通鍵を用いますが，クライアント向け DNSSEC は公開鍵暗号です）。

DNSSEC についての記述のうち，適切なものはどれか。

出典令和5年度 秋期 応用情報技術者試験 午前 問45
ア
DNS サーバへの問合せ時の送信元ポート番号をランダムに選択することによって，DNS 問合せへの不正な応答を防止する。
イ
DNS の再帰的な問合せの送信元として許可するクライアントを制限することによって，DNS を悪用した DoS 攻撃を防止する。
ウ
共通鍵暗号方式によるメッセージ認証を用いることによって，正当な DNS サーバからの応答であることをクライアントが検証できる。
エ
公開鍵暗号方式によるデジタル署名を用いることによって，正当な DNS サーバからの応答であることをクライアントが検証できる。