令和5年度 情報処理安全確保支援士試験 午前Ⅱ 問1 DNSSECの署名レコード
本問はDNSSECにおけるリソースレコードの真正性担保の仕組みを問うています。署名と鍵の対応関係の把握が解法の鍵です。
【問題】
DNSSECにおいて、リソースレコードセット（RRset）に対するデジタル署名を格納するために使用されるリソースレコードタイプはどれか。
ア DS イ DNSKEY ウ RRSIG エ NSEC
【解説】
DNSSEC（Domain Name System Security Extensions）は、DNS応答の偽装（キャッシュポイズニング等）を防ぐため、公開鍵暗号方式によるデジタル署名を用いてリソースレコードの真正性と整合性を検証する技術です。
各レコードの役割は以下の通りです。
RRset（Resource Record Set）: 同じ名前、クラス、タイプを持つリソースレコードの集合です。DNSSECでは個別のレコードではなく、この集合単位で署名を行います。
デジタル署名の生成: ゾーンの秘密鍵を用いてRRsetに対して署名を作成します。
署名の格納: 作成されたデジタル署名は、RRSIGレコードとして定義されます。
graph LR
subgraph DNS_Zone
RRset["RRset: Aレコード等"]
RRSIG["RRSIG: 署名データ"]
DNSKEY["DNSKEY: 公開鍵"]
end
RRset -. 署名付与 .-> RRSIG
DNSKEY -. 検証 .-> RRSIG
【選択肢の吟味】
| 選択肢 | 判定 | 解説 |
|---|---|---|
| ア DS | 誤り | Delegation Signer。子ゾーンのDNSKEYのハッシュ値を親ゾーンに登録し、信頼の連鎖を構築します。 |
| イ DNSKEY | 誤り | 署名を検証するための公開鍵を格納します。ZSK（ゾーン署名鍵）やKSK（鍵署名鍵）が含まれます。 |
| ウ RRSIG | 正解 | Resource Record Signature。対象となるRRsetに対するデジタル署名そのものを格納します。 |
| エ NSEC | 誤り | Next Secure。不在証明（要求されたレコードが存在しないことの証明）のために使用されます。 |
【ポイント】
RRSIGは「署名そのもの」を保持し、データの改ざんがないことを証明する。
DNSKEYは「検証用の公開鍵」を保持し、署名の正当性を確認するために使われる。
DSは「親ゾーン」に配置され、子ゾーンの鍵が正しいことを保証する（信頼の連鎖）。
