応用情報技術者TLS・名前解決とネットワーク防御の設計オリジナル・公式資料照合難易度★★★★☆
端末から外部DNSリゾルバーへの問い合わせをDoHにした。HTTPSの相手認証は正しいが、リゾルバー自体を無条件には信頼できない。対象ゾーンはDNSSEC署名済みで信頼アンカーからの検証が可能である。DoHとDNSSECの役割を区別した説明はどれか。
A
DoHを使えば、リゾルバーも問い合わせた名前を知ることができない
DoHの終端であるリゾルバーは問い合わせを処理するため、その内容を知り得ます。経路の暗号化とは異なります。
B
DNSSECを使えば、DNSの問い合わせ内容は暗号化されリゾルバーからも隠れる
DNSSECは署名等によるデータ認証・完全性の仕組みで、問い合わせ内容を秘匿する暗号化ではありません。
C
HTTPS相手の証明書が有効なら、その相手の返すDNSデータの出所も必ず正しい
TLSの相手認証は接続先リゾルバーの確認です。悪意あるリゾルバーが正しいDNSデータを返すことまで保証しません。
D
DoHは端末とリゾルバー間の経路を保護し、DNSデータの出所・完全性は端末側のDNSSEC検証等で別に確認する★ 正解
暗号化された転送経路と、署名されたDNSデータの検証を分離します。リゾルバー自身を信頼しない条件ではローカル検証等が必要です。
解説
DoHとDNSSECは保護対象が異なります。DoHだけで応答の出所を保証せず、DNSSECだけで問い合わせを秘匿しません。DNSSEC未署名の名前にも同じ検証保証が得られるとは扱いません。
根拠資料・確認情報
対応範囲：2026年度 応用情報技術者試験
資料確認日：2026-10-28
同じレッスンの問題
問題 1
TLS 1.3でPSKを使って再開する通常の1-RTT通信を設計する。将来、その再開接続に使ったPSKだけが漏えいしても、記録済みの当該1-RTT通信を保護する前方秘匿性を得たい。接続ごとに安全な新しい(EC)DHE鍵共有を利用でき、通信終了後には一時秘密値・通信鍵を消去する。0-RTTは使わず、鍵ログ・端末侵害・実装欠陥はない。PSK鍵交換モードの選択として適切なのはどれか。
問題 2
送金APIを複数拠点で提供し、TLS 1.3の0-RTT early dataの利用を検討している。拠点をまたぐ一貫した再送検知はまだなく、同じ送金を重複実行してはならない。遅延短縮より二重送金防止を優先する設計はどれか。
問題 3
HTTPSクライアントがapi.prod.example.comへ接続する。提示された証明書は信頼するCAの有効な署名・有効期間を持つが、DNS-IDはsubjectAltNameの*.example.comだけである。RFC 9525のワイルドカードによるサービス名照合を使い、別の一致する識別子はない。この証明書をどう扱うべきか。
問題 5
社内APIはmTLSで接続元サービスのクライアント証明書を検証する。サービスXとYは同じ社内CAから有効な証明書を得るが、機密データを読めるのはXだけである。Yの証明書による接続で機密データを返さないために必要な設計はどれか。