令和7年度 秋期 エンベデッドシステムスペシャリスト試験 午前II 問題 問16
この問題は2025(R7)秋 エンベデッドシステムスペシャリスト 午前IIに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。
本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。
DNSキャッシュサーバAと権威DNSサーバCにDNSSECを導入した。PCがDNSキャッシュサーバAを用いてWebサーバBの名前解決を行うとき，DNSキャッシュサーバAが，WebサーバBのドメインを管理している権威DNSサーバCに問い合わせた。そのDNS問合せ後，PCがWebサーバBにアクセスするまでのDNSキャッシュサーバA，PC，及び権威DNSサーバCの動作に関する記述のうち，適切なものはどれか。
解答・解説を読む
正解: 選択肢ウ
DNSSEC（DNS Security Extensions）の仕組み
DNSSECは、DNSの応答データにデジタル署名を付加することで、応答の真正性（正しい送信元からの応答であること）と完全性（通信経路で改ざんされていないこと）を保証するセキュリティ拡張機能です。
基本的な動作の流れは以下のようになります。
- 権威DNSサーバは、管理するゾーン情報（DNSレコード）に対して自身の秘密鍵でデジタル署名を生成し、応答時に付加して返します。
- DNSキャッシュサーバは、権威DNSサーバの公開鍵（DNS鍵）を用いて、受け取ったデジタル署名を検証します。
- 検証に成功した場合、正当な応答としてクライアント（PC）に結果を返します。
※DNSSECはデータの暗号化を行う技術ではありません。
正解の根拠
問題文には「DNSキャッシュサーバAと権威DNSサーバCにDNSSECを導入した」とあります。したがって、権威DNSサーバCがDNS応答にデジタル署名を付加し、問い合わせを行ったDNSキャッシュサーバAが公開鍵を用いて検証を行うという役割分担になります。これに該当する記述は選択肢ウです。
各選択肢の解説
- ア：誤り。DNS応答にデジタル署名を付加するのはDNSキャッシュサーバAではなく、ドメインを管理する権威DNSサーバCです。また、本構成で検証を行うのはPCではなくDNSキャッシュサーバAです。
- イ：誤り。DNSSECはデジタル署名による検証の仕組みであり、応答データの暗号化は行いません。動作の主体も誤っています。
- ウ：正解。権威DNSサーバCがデジタル署名を付加し、DNSキャッシュサーバAがDNS鍵を用いて真正性と完全性を検証します。
- エ：誤り。DNSキャッシュサーバAが検証を行う点は正しいですが、権威DNSサーバCが行うのはデータの暗号化ではなく、デジタル署名の付加です。