DNSSEC 検証結果の読取り
フルリゾルバ 192.0.2.53 に，www.example.jp の A レコードを dig コマンド（+dnssec 指定）で問い合わせた結果の抜粋を次に示す。読み取れることとして，適切なものはどれか。
;; flags: qr rd ra ad; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1
;; ANSWER SECTION:
www.example.jp. 300 IN A 203.0.113.10
www.example.jp. 300 IN RRSIG A 13 3 300 20261201000000 20261101000000 12345 example.jp. (署名値省略)- アad フラグが立っているので，この応答はフルリゾルバのキャッシュからではなく，権威 DNS サーバが直接返した権威ある応答である。
- イ応答に署名が付いているので，フルリゾルバとクライアントとの間の通信は暗号化されており，経路上で盗聴されていない。
- ウRRSIG の署名者名が example.jp. なので，この A レコードは親ゾーンである jp の鍵で署名されている。
- エad フラグが立っているので，フルリゾルバが信頼の連鎖をたどって署名を検証し，応答の RRset を真正と判断したことが分かる。
正解と解説を見る
正解 エ
この問題の基礎知識
- DNSSEC は DNS の応答の RRset にデジタル署名（RRSIG）を付け，データの完全性と発信元の正当性を検証できるようにする仕組みであり，通信の暗号化（機密性）は提供しない。
- 各ゾーンは自ゾーンの鍵（DNSKEY）で署名し，親ゾーンは子ゾーンの鍵のハッシュ値を DS レコードとして登録して署名する。検証はルートからこの信頼の連鎖をたどって行う。
- DNS ヘッダのフラグのうち，qr は応答，rd は再帰問合せの要求，ra は再帰問合せが可能，aa は権威ある応答，ad は応答したサーバが RRset を真正と検証したことを示す。
- DNS over TLS（DoT）や DNS over HTTPS（DoH）は通信路を暗号化する仕組みであり，応答データに署名する DNSSEC とは目的が異なる。
アad フラグが立っているので，この応答はフルリゾルバのキャッシュからではなく，権威 DNS サーバが直接返した権威ある応答である。
権威ある応答であることを示すのは aa（Authoritative Answer）フラグであり，この応答には立っていない。ad フラグは，応答したサーバが応答中の RRset を真正と判断したことを示す。
イ応答に署名が付いているので，フルリゾルバとクライアントとの間の通信は暗号化されており，経路上で盗聴されていない。
DNSSEC の署名は，応答の完全性と発信元の正当性を検証するためのもので，通信を暗号化しない。通信路の暗号化は DNS over TLS などの役割であり，この結果からは読み取れない。
ウRRSIG の署名者名が example.jp. なので，この A レコードは親ゾーンである jp の鍵で署名されている。
RRSIG の署名者名（Signer's Name）は，検証に使う DNSKEY の所有者名であり，対象の RRset を含むゾーンの名前である。この A レコードは example.jp ゾーンの鍵で署名されており，jp ゾーンは DS レコードで example.jp の鍵を保証する。
エad フラグが立っているので，フルリゾルバが信頼の連鎖をたどって署名を検証し，応答の RRset を真正と判断したことが分かる。正解
DNSSEC の検証を行うフルリゾルバは，応答の Answer セクションなどの RRset を全て真正と判断した場合に限り ad フラグを立てる。ただし，クライアントがこれを信頼できるのは，フルリゾルバとの間の経路が保護されている場合である。
検証用の出典出典照合済み
RFC 4035 Protocol Modifications for the DNS Security Extensions ／ RFC 4034 Resource Records for the DNS Security Extensions ／ RFC 1035 Domain Names - Implementation and Specification照合の根拠（5 件）
- エ（正解）: ad フラグは応答したリゾルバが Answer セクションの RRset を真正と判断したことを示す
The name server side SHOULD set the AD bit if and only if the resolver side considers all RRsets in the Answer section and any relevant negative response RRs in the Authority section to be authentic.
RFC 4035 · Section 3.2.3（新しいタブで開きます） - エ（正解）: クライアントが ad フラグに依拠できるのは信頼できるリゾルバから安全な経路で受け取った場合
a security-aware stub resolver MUST NOT place any reliance on signature validation allegedly performed on its behalf, except when the security-aware stub resolver obtained the data in question from a trusted security-aware recursive name server via a secure channel.
RFC 4035 · Section 4.9.3（新しいタブで開きます） - ア（誤り）: 権威ある応答を示すのは AA ビットであり，この応答の flags には aa がない
and specifies that the responding name server is an authority for the domain name in question section.
RFC 1035 · Section 4.1.1（新しいタブで開きます） - イ（誤り）: DNSSEC は機密性（暗号化）を提供しない
These extensions do not provide confidentiality.
RFC 4033 · Section 1（新しいタブで開きます） - ウ（誤り）: 署名者名 example.jp. は対象 RRset を含むゾーン（example.jp）であり，その DNSKEY で検証する。親ゾーン jp の鍵ではない
The Signer's Name field MUST contain the name of the zone of the covered RRset.
RFC 4034 · Section 3.1.7（新しいタブで開きます）
dig の flags 行に ad があり aa がない。RRSIG の署名者名は example.jp. なので example.jp ゾーンの鍵による署名である。