問5 DNS キャッシュポイズニングの対策

ほかの選択肢が違う理由

• ア5⁠3 番は DNS の標準の待ち受けポートで、固定しても守りは強くなりません。対策として有効なのは、問合せの送信元ポートを毎回ランダムに変えることです。
• ウトランザクション ID を固定すると、攻撃者が正しい ID を付けた偽の応答を作りやすくなり、逆に危険です。ID は毎回ランダムにします。
• エキャッシュサーバが権威 DNS サーバに非再帰的問合せをするのは、もともとの普通の動きです。攻撃への対策にはなりません。

仕組み

偽の応答が受け入れられるには、送信元ポートとトランザクション ID が問合せと一致する必要があります。この 2 つを毎回ランダムにすると、攻撃者が当てにくくなります。

より根本的な対策として、応答に電子署名を付けて正しさを確かめる DNSSEC があります。