令和7年度 秋期 エンベデッドシステムスペシャリスト試験 午前II 問題 問16
テクノロジセキュリティ技術ネットワークDNS・電子メールのセキュリティDNS
DNSキャッシュサーバAと権威DNSサーバCにDNSSECを導入した。PCがDNSキャッシュサーバAを用いてWebサーバBの名前解決を行うとき，DNSキャッシュサーバAが，WebサーバBのドメインを管理している権威DNSサーバCに問い合わせた。そのDNS問合せ後，PCがWebサーバBにアクセスするまでのDNSキャッシュサーバA，PC，及び権威DNSサーバCの動作に関する記述のうち，適切なものはどれか。
解答・解説
正解: ウ. 権威DNSサーバCではDNS応答にデジタル署名を付加し，DNSキャッシュサーバAではDNS鍵を用いてDNS応答について真正性と完全性を検証する。
DNSSEC（DNS Security Extensions）の仕組み
DNSSECは、DNSの応答データにデジタル署名を付加することで、応答の真正性（正しい送信元からの応答であること）と完全性（通信経路で改ざんされていないこと）を保証するセキュリティ拡張機能です。
基本的な動作の流れは以下のようになります。
- 権威DNSサーバは、管理するゾーン情報（DNSレコード）に対して自身の秘密鍵でデジタル署名を生成し、応答時に付加して返します。
- DNSキャッシュサーバは、権威DNSサーバの公開鍵（DNS鍵）を用いて、受け取ったデジタル署名を検証します。
- 検証に成功した場合、正当な応答としてクライアント（PC）に結果を返します。
※DNSSECはデータの暗号化を行う技術ではありません。
正解の根拠
問題文には「DNSキャッシュサーバAと権威DNSサーバCにDNSSECを導入した」とあります。したがって、権威DNSサーバCがDNS応答にデジタル署名を付加し、問い合わせを行ったDNSキャッシュサーバAが公開鍵を用いて検証を行うという役割分担になります。これに該当する記述は選択肢ウです。