DNS 応答のフラグの読解
A 社は，自社ドメイン example.com の権威 DNS サーバ 192.0.2.53 をインターネットに公開している。A 社と無関係な社外のホストから次のコマンドを実行した結果（一部省略）から判断できることとして，適切なものはどれか。ここで，example.net は A 社と無関係なドメインであり，192.0.2.53 は example.net のゾーンをもたない。
$ dig @192.0.2.53 www.example.net A
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 41237
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1
;; QUESTION SECTION:
;www.example.net. IN A
;; ANSWER SECTION:
www.example.net. 3600 IN A 203.0.113.80- ア応答に aa フラグがないので，192.0.2.53 は自社ドメイン example.com についても権威のある応答を返せない設定になっている。
- イra フラグが立ち，権威をもたない example.net の名前解決結果を返しているので，社外からの再帰問合せに応じており，DNS リフレクション攻撃の踏み台に悪用され得る。
- ウ応答に rd フラグが立っているので，192.0.2.53 の管理者が再帰問合せを受け付けるように設定していることが分かる。
- エstatus が NOERROR で ANSWER が 1 件あるので，192.0.2.53 は www.example.net の応答について DNSSEC の署名の検証に成功している。
正解と解説を見る
正解 イ
この問題の基礎知識
- DNS サーバには，自らがもつゾーンについて回答する権威 DNS サーバと，クライアントに代わって再帰的に名前解決を行うフルリゾルバ（キャッシュ DNS サーバ）がある。
- DNS ヘッダのフラグのうち，qr は応答であること，aa は応答したサーバがその名前について権威をもつこと，rd は問合せ側が再帰を要求していること，ra はサーバが再帰問合せに対応していることを示す。
- 外部からの再帰問合せに応じるオープンリゾルバは，送信元を詐称した問合せによって大きな応答を第三者に送り付ける DNS リフレクション攻撃の踏み台になる。
- ad フラグは，DNSSEC の検証を行ったリゾルバが検証に成功した応答に設定する。status は NOERROR や NXDOMAIN などの応答コードを示すもので，署名の検証結果は表さない。
ア応答に aa フラグがないので，192.0.2.53 は自社ドメイン example.com についても権威のある応答を返せない設定になっている。
aa フラグは，応答したサーバが問い合わせた名前（ここでは www.example.net）の権威をもつことを示す。example.net のゾーンをもたないので aa がないのは当然であり，example.com への応答に aa が付くかどうかはこの結果からは判断できない。
イra フラグが立ち，権威をもたない example.net の名前解決結果を返しているので，社外からの再帰問合せに応じており，DNS リフレクション攻撃の踏み台に悪用され得る。正解
ra フラグは再帰問合せが利用可能であることを示し，自らゾーンをもたない名前の回答を社外のホストに返している。このようなサーバは，送信元を詐称した問合せで大きな応答を第三者に送らせる反射攻撃に悪用される。再帰は社内からの問合せに限るべきである（RFC 5358）。
ウ応答に rd フラグが立っているので，192.0.2.53 の管理者が再帰問合せを受け付けるように設定していることが分かる。
rd フラグは問合せ側が再帰を要求するために設定するもので，dig は既定で設定し，サーバは応答にそのまま複写する。サーバが再帰問合せに対応しているかどうかは，rd ではなく応答の ra フラグで判断する。
エstatus が NOERROR で ANSWER が 1 件あるので，192.0.2.53 は www.example.net の応答について DNSSEC の署名の検証に成功している。
NOERROR は応答コードが正常であることを示すだけで，DNSSEC の検証結果は表さない。検証に成功したことは，検証を行ったリゾルバが応答に設定する ad（Authenticated Data）フラグで示されるが，この応答には ad フラグがない。
検証用の出典出典照合済み
RFC 1035 Domain Names - Implementation and Specification ／ RFC 5358 Preventing Use of Recursive Nameservers in Reflector Attacks ／ RFC 4035 Protocol Modifications for the DNS Security Extensions照合の根拠（7 件）
- イ（正解）: ra フラグは再帰問合せが利用可能であることを示す。ウ（誤り）: サーバの再帰対応は ra で判断する
RA Recursion Available - this be is set or cleared in a response, and denotes whether recursive query support is available in the name server.
RFC 1035 · Section 4.1.1（新しいタブで開きます） - イ（正解）: 外部からの再帰問合せに応じるオープンリゾルバはリフレクション攻撃に悪用される
The attacks have preferentially used DNS due to common default configurations that allow for easy use of open recursive nameservers that make use of such a default configuration.
RFC 5358 · Section 1（新しいタブで開きます） - イ（正解）: 外部ネットワークに再帰サービスを提供すべきでない（再帰は社内に限る）
By default, nameservers SHOULD NOT offer recursive service to external networks.
RFC 5358 · Section 4（新しいタブで開きます） - ア（誤り）: aa は問い合わせた名前（www.example.net）の権威をもつかを示すだけで，example.com への応答については判断できない
AA Authoritative Answer - this bit is valid in responses, and specifies that the responding name server is an authority for the domain name in question section.
RFC 1035 · Section 4.1.1（新しいタブで開きます） - ウ（誤り）: rd は問合せ側が設定し応答にそのまま複写されるので，サーバの設定を示さない
RD Recursion Desired - this bit may be set in a query and is copied into the response. If RD is set, it directs the name server to pursue the query recursively.
RFC 1035 · Section 4.1.1（新しいタブで開きます） - エ（誤り）: DNSSEC の検証結果を示すのは AD ビットであり，この応答には ad がない
The name server side of a security-aware recursive name server MUST NOT set the AD bit in a response unless the name server considers all RRsets in the Answer and Authority sections of the response to be authentic.
RFC 4035 · Section 3.2.3（新しいタブで開きます） - エ（誤り）: NOERROR（RCODE 0）はエラーがないことを示すだけで，署名の検証結果は表さない
0 No error condition
RFC 1035 · Section 4.1.1（新しいタブで開きます）