DNSSECとは？

DNSSEC（DNS Security Extensions）は、IETFが策定したDNSプロトコルへのセキュリティ拡張で、DNSの応答が正当なサーバーから改ざんなく届いていることを暗号署名によって検証できるようにする仕組みです。

DNSは本来、応答の真正性を確認する手段を持っていないため、中間者攻撃やキャッシュポイズニング（偽の応答をキャッシュに混入させる攻撃）に対して脆弱でした。DNSSECは各ゾーンのDNSレコードにデジタル署名（RRSIGレコード）を付与し、信頼の連鎖（Chain of Trust）によって検証する仕組みを導入しました。

主要な構成要素は次のとおりです。

• DNSKEY：ゾーンの公開鍵を格納するレコード
• RRSIG：各リソースレコードセットへのデジタル署名
• DS（Delegation Signer）：親ゾーンが子ゾーンの鍵を保証するレコード
• NSEC / NSEC3：「このドメインは存在しない」という否定応答の署名

信頼の連鎖はルートゾーン（.）から始まり、TLD（.jpなど）→権威DNSへと階層的に検証が行われます。ルートゾーンの署名鍵はICANNが管理しています。

DNSSECを有効にすることでDNSハイジャックのリスクを大幅に低減できますが、ゾーンファイルの署名作業や鍵のローテーション運用が複雑なため、特に重要なドメインや金融・政府系サービスでの採用が進んでいます。