CyberGlossary

ネットワークセキュリティ

DNSSEC

別称: DNS セキュリティ拡張

定義

DNS のゾーンデータを暗号署名する拡張仕様で、リゾルバが応答の真正性と完全性を検証できるようにする。

DNSSEC(Domain Name System Security Extensions)は、DNS レコードに公開鍵署名を付与する拡張です。検証リゾルバは応答が本当に権威ゾーンから返され、伝送中に改ざんされていないことを確認できます。各ゾーンは DNSKEY を公開し、リソースレコードを RRSIG で署名します。親ゾーンに置かれた DS レコードは、署名済みルートに至る信頼の連鎖を形成します。DNSSEC はキャッシュポイズニング、経路上の改ざん、不正リゾルバによる偽応答を防ぎます。クエリ自体は暗号化されないため、機密性が必要な場合は DoH や DoT を併用します。DANE など上位プロトコルの基盤としても重要です。

例

  • 検証リゾルバは、bank.example への偽造応答の RRSIG が公開された DNSKEY で検証できないため拒否する。
  • レジストリが ZSK をロールオーバーし、信頼の連鎖を維持するため親ゾーンに新しい DS レコードを公開する。

関連用語