DNSSECにおける権威DNSサーバの署名とキャッシュサーバの検証

DNSSEC(DNS Security Extensions)では、ゾーン情報を管理する権威DNSサーバがリソースレコードセット(RRset)に対して秘密鍵でデジタル署名(RRSIG)を付与し、DNSキャッシュサーバが公開鍵(DNSKEY)と信頼の連鎖(DSレコード)を用いて応答の真正性および完全性を検証します。 デジタル署名を生成するのはゾーン管理者である権威DNSサーバであり、キャッシュサーバではありません。 DNSSECは暗号化通信(秘匿性確保)を提供する技術ではなく、デジタル署名による改ざん検知と送信元検証を行います。 DNSSECはレコードの暗号化復号プロトコルではありません。

DNSキャッシュサーバAと権威DNSサーバCにDNSSECを導入した。PCがDNSキャッシュサーバAを用いてWebサーバBの名前解決を行うとき、DNSキャッシュサーバAは権威DNSサーバCに問い合わせた。その動作に関する記述のうち、適切なものはどれか。

出典令和7年度 秋期 エンベデッドシステムスペシャリスト試験 午前Ⅱ 問16
ア
DNSキャッシュサーバAではDNS応答にデジタル署名を付加し、PCではDNS鍵を用いてDNS応答について真正性と完全性を検証する。
イ
DNSキャッシュサーバAではDNS応答を暗号化し、PCではDNS鍵を用いてDNS応答を復号する。
ウ
権威DNSサーバCではDNS応答にデジタル署名を付加し、DNSキャッシュサーバAではDNS鍵を用いてDNS応答について真正性と完全性を検証する。
エ
権威DNSサーバCではDNS応答を暗号化し、DNSキャッシュサーバAではDNS鍵を用いてDNS応答を復号する。