DNSSEC(ディーエヌエスセック)とは | 意味や読み方など丁寧でわかりやすい用語解説

DNSSEC（DNS Security Extensions）は、インターネットの根幹を支えるDNS（Domain Name System）のセキュリティを強化するための拡張プロトコルである。DNSはドメイン名とIPアドレスを紐付ける「名前解決」の仕組みを提供するが、その設計当初はセキュリティが十分に考慮されていなかったため、いくつかの脆弱性が存在する。DNSSECは、これらの脆弱性、特にDNS応答の偽装や改ざん（キャッシュポイズニングなど）から利用者を保護することを目的としている。

DNSは、ユーザーがウェブサイトにアクセスする際に、例えば「example.com」のようなドメイン名を「192.0.2.1」のようなIPアドレスに変換する役割を担う。この名前解決のプロセスは、PCやルーター、プロバイダなどが持つDNSリゾルバ（キャッシュDNSサーバー）が、権威DNSサーバーに対して問い合わせを行い、その応答を受け取ることで完了する。しかし、従来のDNSには、問い合わせに対する応答が本当に正しい権威DNSサーバーからのものか、あるいは通信経路途中で改ざんされていないかを検証する仕組みがなかった。

この脆弱性を悪用すると、攻撃者は偽のDNS応答をDNSリゾルバに送りつけ、本来とは異なるIPアドレス（例えば、攻撃者が用意した偽のウェブサイトのIPアドレス）をキャッシュに登録させることが可能になる。これがDNSキャッシュポイズニングと呼ばれる攻撃で、ユーザーは正規のドメイン名を入力したにもかかわらず、知らないうちにフィッシングサイトなどの悪意あるウェブサイトに誘導されてしまう。企業や組織にとっては、マルウェアの配布元サーバーに誘導されるなど、甚大な被害につながる可能性がある。

DNSSECは、このようなDNS応答の改ざんや偽装を防ぐために、電子署名と公開鍵暗号技術を利用する。具体的には、DNSレコードの各データ（Aレコード、MXレコードなど）に対して、そのゾーンの管理者が電子署名を付与する。この署名されたDNSレコードを「RRSIGレコード」と呼ぶ。

名前解決を行うDNSリゾルバは、応答として受け取ったRRSIGレコードに含まれる電子署名を検証する。検証には、署名者の公開鍵が必要となる。この公開鍵は「DNSKEYレコード」としてDNSに公開されており、リゾルバはこのDNSKEYレコードを取得して署名の正当性を確認する。もし署名が有効であれば、そのDNS応答は改ざんされていない、信頼できるデータであると判断できる。

さらに、DNSSECでは「信頼の鎖（Chain of Trust）」という仕組みを用いて、公開鍵自体の正当性も検証する。これは、上位のDNSゾーン（例えば.comゾーン）が下位のDNSゾーン（example.comゾーン）の公開鍵（DNSKEY）に署名を行うことで実現される。この署名情報は「DSレコード（Delegation Signerレコード）」として上位ゾーンに登録される。つまり、リゾルバはまずルートゾーンの公開鍵を信頼し、その鍵で署名されたトップレベルドメイン（TLD）の公開鍵を信頼し、さらにTLDの鍵で署名されたセカンドレベルドメインの公開鍵を信頼するという形で、上位から下位へと信頼を繋いでいく。この信頼の鎖が途切れていたり、署名が不一致だったりすれば、その応答は信頼できないと判断される。

DNSSECの導入は、ゾーンの管理者が自らのゾーンデータに署名を生成し、上位ゾーンにDSレコードを登録する「ゾーン署名」という作業を伴う。これにより、DNSリゾルバは各DNS応答が本物であることを確認できるようになり、DNSキャッシュポイズニングのような攻撃からユーザーを保護する。

DNSSECの採用は、インターネット全体のセキュリティと信頼性を大きく向上させる。ユーザーが安心してインターネットを利用できるようになるだけでなく、企業やサービスプロバイダも自社サービスの信頼性を高めることができる。しかし、DNSSECの導入と運用には、鍵の管理、署名の更新、適切な設定など、従来のDNS運用に比べて追加の知識と手間が必要となるという側面もある。特に鍵の有効期限切れによる署名失効や、誤った設定は名前解決の障害に直結するため、慎重な運用が求められる。それでも、インターネットの安全性を確保する上で、DNSSECは不可欠な技術となりつつある。