DNSSECとは何ですか？

DNSの応答に電子署名を付与して、DNS情報の改ざんを検知・防止するセキュリティ拡張。

DNSSECのポイントは？

DNS Security Extensionsの略。DNSキャッシュポイズニング攻撃への対策。公開鍵暗号を使った電子署名でDNS応答の真正性を検証。.jpドメインは2011年からDNSSECに対応

【でぃーえぬえすせっく】

💡 DNSの「嘘の回答」を見破る仕組み

📌 このページのポイント

DNSSECのイメージ

ひよこ

なんでDNSにセキュリティが必要なの？

ペンギン先生

通常のDNSは「応答が本物か偽物か」を検証する仕組みがないんだ。攻撃者がDNSの応答を偽造して「銀行のサイトはこのIPだよ」と嘘の回答を返すと、ユーザーは偽サイトに誘導される。これがDNSキャッシュポイズニングで、DNSSECはこれを防ぐんだよ

ひよこ

どうやって偽物を見分けるの？

ペンギン先生

DNSの各レコードに電子署名（RRSIG）を付与するんだ。DNSSECに対応したリゾルバは、署名を公開鍵で検証して「この応答は正規のDNSサーバから来たもので改ざんされていない」と確認する。署名が合わなければ「偽の応答だ」と判断して破棄するよ

ひよこ

普及してるの？

ペンギン先生

ルートDNSや主要なTLD（.com、.jp等）はDNSSEC対応済みだけど、個々のドメインの対応率はまだ低い。設定の複雑さや鍵管理の負荷が課題だよ。ただし金融機関や政府機関では導入が進んでいて、今後さらに普及が期待されているんだ

ひよこ

DNS over HTTPSとの違いは？

ペンギン先生

DNSSECは「応答の真正性（改ざんされていないか）」を保証する。DNS over HTTPS（DoH）は「通信の暗号化（盗聴されないか）」を保証する。役割が違うから、両方使うのが理想的なDNS セキュリティだよ。DNSSECで改ざん防止＋DoHで盗聴防止、という二重の防御だね

まとめ：ざっくりこれだけ覚えればOK！

「DNSSEC」って出てきたら「DNSの回答が本物かどうか検証するセキュリティ技術」と思えればだいたいOK！

📖 おまけ：英語の意味

「DNS Security Extensions」＝ DNSセキュリティ拡張

💬 通常のDNSには認証機能がなく、偽の応答を見分けられない。その弱点を補うために作られたよ