DNSSEC update
世界各国の対応状況について
DNSSECスプリングフォーラム 2013
株式会社ブロードバンドタワー
大本 貴

最初に
• DNSSEC 2012 スプリングフォーラム(2012/4/25)
において、ご報告した情報をベースに、この一年間のccTLDおよびgTLDのDNSSEC対応状況について情報をまとめました。(2013/5/25まで)• これらの情報はccTLDのレジストリwebサイトやICANNの資料等を確認してまとめたものですAgenda• 各gTLDの導入状況と動向アップデート• 各ccTLDの導入状況と動向アップデート• この一年間での海外のDNSSEC関連Topics• まとめDNSSEC対応状況 2010/7/21• http://www.ohmo.to/dnssec/maps/

DNSSEC対応状況 2011/4/18• http://www.ohmo.to/dnssec/maps/

DNSSEC対応状況(2012/4/17)• http://www.ohmo.to/dnssec/maps/

DNSSEC対応状況(2013/5/24)• http://www.ohmo.to/dnssec/maps/

gTLD、sTLDの導入状況• 前々回2010/7/21日発表時に導入済みだったgTLD– .org .museum .biz .cat .gov

• 前回 2011/4/20日発表時に導入済みだったgTLD– .edu .info .asia .net .com .arpa• .aero、.mobi→その後動向変化なし。

• .mil• nic.milと.mil間のみDNSSECの親子信頼関係あり→.milのDNSKEY署名公開済み。(2011/09/27)→ 2012/7/15 DS署名公開済み• .name––2012/3/20 VerisignがDNSSEC導入のため承認要請レター提出
現在ICANNでレビュー中。

→ 2012/10/13 ICANN board 承認。
•.gov– 2012/3月の時点で1662ドメインのうち910ドメインが署名済みとICANN44にて報告。

• .post– sTLD。 2012/8/8 IANAのTLD割当に追加された。
DNSSECはDS署名済み。

ccTLDの動向(1/5)– .lb(レバノン)– 2012/5/23 DS導入済み– .lv(ラトビア)– 2012/8/8 DS導入済み– .fo(フェロー諸島)– .fo(フェロー諸島)がDNSKEY署名公開
2012/4/13– 2012/9/17DS導入済み– .lt(リトアニア)– 2013/2/20導入済み– .ru (ロシア)– 詳細は不明だが、導入を予定。
→テストは開始した模様。
その後動向報告なし(http://www.dnssec.ru/en/)→.su(ソビエト連邦)が導入済みに。2012年に.ruと.РФの導入予定→2012/12/21 DS導入済み

ccTLDの動向(2/5)– .ie (アイルランド)– 2010/6/15 DNSSEC導入を検討中と言及。
→ 2011/8/30 導入することを表明– .es (スペイン)– 2010/9月テスト実施。(LACTLD調査より)
iis.seのエンジニアと交流しDNSSECに関する情報交換している。
DNSSEC FAQを公開2011/5– .ee (エストニア)– 2010/6/21に導入することを表明。
ただし実施時期は未定。
(新DNS system 構築後とのことだったが、すでに構築は完了している)→2011年12月、監査総会でDNSSEC開発費用として今後3年間分の開発予算を計上– .it(イタリア)– 2012/11月の委員会でWG発足。
2013/1からWGが活動開始– .no(ノルウェー)– WGも活動開始していて、2013年秋までに2nd levelに導入予定– CENTRのsurveyによる報告(ICANN46)• .al(アルバニア) .ee .es .hr(クロアチア) .hu(ハンガリー) .ie .it(イタリア) .mt(マルタ).no(ノルウェー) .ro(ルーマニア) (と.cn、 .mx)は2013年中にDNSSEC対応を開始する予定。
• .ad(アンドラ) .ps(パレスチナ自治区) .rs(セルビア)は2014年中にDNSSEC対応を開始する予定。

ccTLDの動向(3/5)(アジア)– .cn (中国)
– 2010年末までに導入を予定。
→1300万ドメイン(2010年当時)を管理しているため、実導入へ慎重になっている。
(2011/2/21 APNIC 31 meeting)→cn(中国)はSDNS(SecureDNS)というシステムを開発。
DNSSECの適用できるように互換性をもっているらしい。

–.hk(香港)– 2012/6月に公開した資料によると2012年中にテストベッドを立ち上げる予定– →2012/11月にテスト用プラットフォームの準備ができたことを告知している»–.mo (マカオ)– レジストリ運営移管に伴って、DNSSECにも取り組むことを表明。

–.vn (ベトナム)• dnssecへの取り組み表明(2012/8/15)–.vnのレジストラへの新規参入などにdnssec,IPv6の対応を要項追加。レジストリもテストベットを実施する。

ccTLDの動向(4/5)(南米)• 南米地域 (LACTLDの調査結果2010/12月からの推移)– .ec (エクアドル)– 2012年第1四半期導入予定– .gt (グアテマラ)– 2011/1月にテスト実施、– 2012/1月導入予定– .pa (パナマ)– 2011/8月導入予定– .pe (ペルー)– 2011/第4四半期導入予定– .tt (トリニダード・トバゴ )– 2010年にテスト実施– 2012/8/15導入済み– .uy (ウルグアイ)– 2012年第1四半期導入予定– 2012/11/6 対応開始を表明– .ve(ベネズエラ)– 計画策定開始－ .vc (セントビンセントおよびグレナディーン諸島 )2010/10/6 DNSKEY公開、その後動向なし

LACTLDのコメント(ICANN44)→人材の欠乏が実装への最も重大な障壁になっている。

ccTLD (対応している・・・?)• Cocca(The Council of Country Code Administrators)管理のccTLD–

2010/12/15 にDNSSEC署名予定との(2010/11/2日付けプレスリリース)があったが、現在もまだ・・・。

– .af (アフガニスタン)– .cx (クリスマス諸島)→ 2013/4/17 DS導入済み– .gs (サウスジョージア島・サウスサンドイッチ島(英領))– .ki (キリバス)– .nf (ノーフォーク諸島(オーストラリア領) )→ 2013/4/21導入済み– .sb (ソロモン諸島 )– .tl (東ティモール)その他の地域のccTLDの動向(5/5)–.au (オーストラリア)– 2010年中にも運用開始か？
→2010/8/12に対応表明。2011/4/18日のauDA Meetingでプレゼン予定だが、2011年一杯はテスト対応で終わりそう。早くても2012年になるとの見通しがZ
Dnetの担当者へのインタビュー記事で。
→2011/11の評議会にて実装スケジュールが承認。(内容は不明)
auDAのDNSSEC WGでの議論は継続している模様。

→2014年ごろ対応を目処にしているようだがDPSの策定で難航中の模様。

–.ca (カナダ)– 2011年後半の導入を予定。その後動向報告なし– →2012年2月、2012年中の導入と2013年内のサービス開始をアナウンスしDPS公開– →2013/1/25 DS署名済み––––––.cc (ココス諸島[オーストラリア]).pw(パラオ).tz(タンザニア).tv(ツバル).gn(ギニア).cv(カーボヴェルデ)

DS導入済み2012/10/24
DS導入済み2012/12/21
DS導入済み2013/2/8
DS導入済み2013/3/23
DS導入済み2013/5/20• DNSSECのworkshop開催– .iq(イラク)• UAE(アラブ首長国連邦)で開催されたDNSSEC workshopに関係者を派遣し参加。

– .za(南アフリカ)• ZAゾーン管理の運用業者をDNSSEC対応を主眼としてInternet Solutions社からZACR(南アフリカCentral Registry社)に移管する計画を発表した。

ccTLDの動向(この一年動向なし)– .mx (メキシコ)– 2006年5月から内部的なテストを実施している模様→2011/第4四半期に導入予定 (LACTLD survey結果より)– .sg (シンガポール)– 2009年9月から2010年2月までテストベッドを実施、「2010年4月に運用開始予定」とアナウンスしていたが、現在のステータスは不明。

– .ir (イラン)– 2009年からテストベッドを開始、2010年2月に終了– その後動向なし。dnssec.irもドメイン消失。

– .sk (スロバキア)– DNSSEC、IPv6の実装のためシステムの改良、交換について議論中(2010/6/28の2010前半総括報告にて)– .lr(リベリア)– DNSKEY署名公開(テスト?) 2011/6/10～6/24– .ga(ガボン)– DNSKEY署名公開 2012/2/28– .ke(ケニア)– 2012年度中の導入を計画(kenic2011-2013年計画資料)– .sn(セネガル)– 2012年6月末導入を計画 (ICANN42にて発表)

TLD導入推移状況
TLD全体 317TLD のうちrootにDS導入済みのTLD
2010/4以前 2011/42012/4

2013/5

合計

gTLD&sTLD

560213ccTLD

1825191476

累計推移

2354738989

IDN----

18

合計

107

約1/3のTLDが対応

1年間での海外DNSSEC関連Topics• .nlが爆発的に急増。DS署名ドメイン数は現在148万ドメイン(.nl全体の28%)を超えた。
• .comも2012/8～9月にかけての2カ月のみで15000→10万ドメイン以上に。
• .euも2012/5/8～6/8の一カ月で7500→21000ドメインに。
• 一方で.fiは全体30万ドメインのうち63ドメインに留まっていて、適用を呼びかけている。
• .gaのDNSKEYが公開されていたが今月7日に非公開になった。
• APNIC Geff Huston氏とGeorge Michaelson氏がvalidatorの普及度について計測し資料公開(2012/9/10-9/17の間のdotnxdomain.netへのアクセスログから計測)
https://ripe65.ripe.net/presentations/102-2012-09-25-dnssec.pdf• 署名有効期間切れサイト事例はもはやあるあるネタ?
(DNSSEC大抵の失敗事例は署名の有効期間切れ)

海外のHot Topics• 米国Comcast社のtwitterアカウント(@comcastDNS)が熱い。
– たくさんのwebサイトでvalidationfailedしてますね・・・。

• google public DNS (8.8.8.8)のDNSSEC対応– このあとエリックさんがお話してくれるはず。

レジストラのDS取次状況• ICANNのページにて情報公開している。
• http://www.icann.org/en/news/in-focus/dnssec/deployment

まとめ• 各gTLD, ccTLDのDNSSEC対応は順調に進んできている。
– TLDによってはドメイン登録数が急増しているTLDも。
– ただし、ドメイン登録数およびDNSSEC対応ドメイン数は非公開のTLDが多く実際の普及度は判断しにくい。

• 各レジストラでのDS取次サービスでも対応TLDが増加。

• トラブルも見受けられるが、正直毎日のようにどこかでvalidationfailedは起きているので珍しく感じなくなってきた?(感覚麻痺?)• TLD側がDNSSEC対応を進めてないccTLDでも、validatorの方から対応が徐々に進んでいる。(lyやazなど。)

参考情報
••

IANA TLD DNSSEC Report–

http://stats.research.icann.org/dns/tld_report/

Registry Services Evaluation Process (gTLD)–

http://www.icann.org/en/registries/rsep/•

各TLDレジストリwebサイト•ICANN44 DNSSEC Workshop資料(2012/6/24-29開催)

••

•

•

–
–

http://www.iana.org/domains/root/db/ からリンク
http://prague44.icann.org/documents-archive?page=5

ICANN45 DNSSEC Workshop資料 (2012/10/14-18開催)–

http://toronto45.icann.org/documents

ICANN46 DNSSEC Workshop資料 (2013/4/7-11開催)–

http://costarica43.icann.org/documents-archive?page=3

発表者のサイト–www.ohmo.to•

http://www.ohmo.to/dnssec/maps/
今回の資料に関係する情報ソースを公開しています。

発表者のつぶやき–twilog.org/taxiJPN (twilogおよび製作者の@roprossさんありがとうございます)•

http://twilog.org/tweets.cgi?id=TaxiJPN&word=dnssec
上記URLで今回の資料に関係する情報ソースのつぶやきがリスト化されてます。