IPA公式正解：イ DNSサーバから受け取るリソースレコードに対するディジタル署名を利用して，リソースレコードの送信者の正当性とデータの完全性を検証する。
※ 正解はIPA公表の解答です。解説は当サイトが生成AIを用いて作成しています。誤りにお気づきの場合はお問い合わせください。
【解説】正解は選択肢【イ】です。DNSSEC（DNS Security Extensions）は、DNS応答レコードに公開鍵暗号方式に基づくディジタル署名を付与することで、送信元の正当性（真正性）と応答データの非改ざん性（完全性）を検証する技術です。
【詳細解説】■ 本問の核心・解法のポイント
DNSのセキュリティ拡張機能である「DNSSEC（DNS Security Extensions）」の役割と仕組みを問う問題です。従来のDNSではキャッシュポイズニング攻撃によって偽のIPアドレスをキャッシュさせられる脆弱性がありました。DNSSECではゾーン情報（リソースレコード群）にディジタル署名を施し、クライアントやキャッシュサーバが署名を検証することで、データの偽装や改ざんを防止します。
・各選択肢の徹底解説：
・ア：不適切です。再帰的な問合せを無差別に受け付けるとDNSアンプ攻撃の踏み台（オープンリゾルバ）となるため、送信元範囲は「限定」すべきであり、DNSSECの機能ではありません。
・イ：【選択肢イ★】適切です。権威DNSサーバがリソースレコードに対してディジタル署名（RRSIGレコード等）を付加し、受信側が公開鍵で検証することで送信元の正当性とデータの完全性を保証します。
・ウ：不適切です。セカンダリDNSサーバによる冗長化は可用性向上の一般的な構成手法であり、DNSSECの機能ではありません。
・エ：不適切です。共通鍵とハッシュ関数を用いたDNS動的更新の認証・署名は「TSIG（Transaction Signature）」の説明です。
よって正解はイです。
![ITビジネスの契約実務 [第2版]](https://m.media-amazon.com/images/P/4785729031.09.LZZZZZZZ.jpg)