DNSSecとは？

DNSSEC（DNS Security Extensions、DNSセキュリティ拡張）とは、インターネットの名前解決システムであるDNS（Domain Name System）に、デジタル署名を用いた認証機能を追加するセキュリティ規格です。IETFによって標準化され、RFCとして定義されています。

DNSは本来、ドメイン名（例：www.example.com）をIPアドレスに変換する仕組みですが、設計当初にはセキュリティが十分に考慮されていませんでした。このため「DNSキャッシュポイズニング」と呼ばれる攻撃が可能で、攻撃者が偽のDNS応答をキャッシュに混入させ、利用者を悪意のあるサイトに誘導できてしまう脆弱性がありました。

DNSSECはこの問題を以下の仕組みで解決します。

• DNSゾーン（ドメインの管理単位）の情報に公開鍵暗号方式でデジタル署名を付与する
• 署名の検証に使う公開鍵を親ゾーンに登録することで「信頼の連鎖（Chain of Trust）」を構築する
• クライアント（リゾルバ）がDNS応答を受け取った際に署名を検証し、改ざんや偽装を検出できる
• RRSIG・DNSKEY・DS・NSECなどの新しいリソースレコードを使用する

DNSSECを導入することで、フィッシングサイトへの誘導やMITM（中間者攻撃）によるDNS応答の改ざんを防ぐことができます。ただし、DNSデータの暗号化（秘匿化）は行わないため、通信内容の傍受を防ぐにはDNS over HTTPS（DoH）やDNS over TLS（DoT）と組み合わせることが推奨されます。ルートゾーンをはじめ多くのTLD（トップレベルドメイン）でDNSSECが導入されており、重要なインターネット基盤技術のひとつです。