DNS・ドメイン

DNSSEC でぃーえぬえすせっく

DNSSECDNS署名キャッシュポイズニング対策ゾーン署名DS レコード信頼チェーン

DNSSECについて教えて

簡単に言うとこんな感じ！

DNSSECは「DNSの回答に電子署名をつけて改ざんを防ぐ仕組み」だよ。普通のDNSは回答が本物かどうか確認しないから、偽の回答を注入される危険がある。DNSSECがあれば「この回答は確かに本物のDNSサーバーが返したものです」と証明できるんだ！

DNSSECとは

DNSSEC（DNS Security Extensions）は、DNSの応答にデジタル署名（RSAまたはECDSA）を付加することで、応答の正真性（改ざんされていないこと）と出所を検証できるようにする拡張仕様です。

DNSは本来、応答が正しい権威サーバーから来たものかどうかを確認する仕組みを持っていません。この弱点を突いたキャッシュポイズニング攻撃（偽のDNS応答をキャッシュDNSに記憶させる攻撃）に対する根本的な防御策がDNSSECです。

DNSSECは「信頼チェーン（Chain of Trust）」と呼ばれる階層的な信頼構造を構成します。ルートゾーンの署名から始まり、TLD（.com/.jpなど）→各ドメインへと信頼が連鎖していきます。