問40応用情報技術者 平成31年度 春期

解説

正解は4。DNSSECは、DNSの応答（資源レコード）に公開鍵暗号方式によるディジタル署名を付ける仕組みである。署名はRRSIGレコード、検証用の公開鍵はDNSKEYレコードに入り、上位ゾーンから信頼の連鎖をたどって鍵を確かめる。クライアント側（リゾルバ）は署名を検証することで、応答が正当なDNSサーバのものであり、途中で改ざんされていないことを確認できる。なお、通信内容を暗号化して秘匿する機能はない。

• 1は、送信元ポート番号のランダム化で、キャッシュポイズニング攻撃を難しくする対策。DNSSECではない。
• 2は、再帰的な問合せを受け付けるクライアントを制限する対策で、オープンリゾルバの悪用を防ぐもの。
• 3は、共通鍵によるメッセージ認証では、不特定多数のクライアントと鍵を共有できないので、DNSSECの方式ではない。

根拠：RFC 4033（DNS Security Introduction and Requirements）。