沖縄ICTフォーラム2011

児童ポルノブロッキングの現状と課題
児童ポルノ対策作業部会
副主査 兼 ISP技術者サブワーキンググループ
リーダー 北村 和広

1

ブロッキング導入検討の経緯• 2009/2

安心協においては、2010/2発足時より「児童ポルノ対策作業部会」（主査：森亮二弁護士）を設置し、検討を実施• 2010/5/18
2010/7/27

総務省ICT諸問題研究会
犯罪対策閣僚会議 児童ポルノ排除総合対策- 2010年度中にブロッキング実施に向けた環境を整備• 2011/3

ICSA設立、アドレスリスト管理団体に選定• 2011/4/1〜 ICSAがブロッキングアドレスリストの提供開始• 2011/4/21〜 ISP９社、検索サービス事業者４社、フィルタリングサービス事業者3社が対応開始
2
2011.10末時点で51社・４団体が参加

ブロッキングアドレスリストの対象範囲- 基本は該当ファイルの削除- 「児童ポルノ掲載アドレスリスト作成管理団体運用ガイドライン」によると、① サイト管理者等へ削除要請を行ったが削除されなかったもの② 海外サーバに蔵置されているもの③ サイト管理者等への削除要請が困難であるもの④ その他、既に多くのウェブサイト又はウェブページを通じて流通が拡大しているなど、迅速かつ重層的な流出防止対策が必要で、事前に専門委員会の承認を得たもの
3

DNSブロッキング方式• DNSに対する問合せに対して、別のサイトのIPアドレスを回答し、別なサイトへ誘導• DNSを利用する通信にのみ有効（IPアドレス直打ちで回避可）• ホスト名/ドメイン単位であるためオーバブロッキングが発生• イタリア、ノルウェー、スウェーデン、フィンランド等で導入事例
www.example.co.jp(IPアドレス=3.4.5.6)

インターネット

DNS

ISP網

①
②
③

ブロック通知サイト(IPアドレス＝1.2.3.4)4

パケットフィルタリング方式• 通信経路上の装置により、IPアドレスあるいはURL単位で該当サイト向け通信を遮断• 複数サイトが同一IPアドレス上にある場合はオーバブロッキングが発生• アクセスリストの運用管理が煩雑
www.example.com(IPアドレス=3.4.5.6)

インターネット

ルータ orDPI装置等

ISP網
5プロキシ方式• Proxyサーバにてアクセス先URL情報を対象リストと突合• URL単位でのブロッキング• Proxy経由の正常通信の速度劣化の懸念
www.example.com(IPアドレス=3.4.5.6)

インターネット
ブロック通知proxyサーバ

ISP網
6ハイブリッドフィルタリング方式• 疑わしい通信のみをURL単位でブロック可能なproxy等を経由• 経路制御やDNSを利用することで疑わしい通信を抽出• BT(CleanFeed)で実績あり
www.example.com(IPアドレス=3.4.5.6)

インターネット

DNS

ISP網
疑わしい通信(ホスト名、IPアドレス等）
はproxyサーバへ振り分け

ブロッキング対象URL
でない場合は該当サイトへアクセス可能
proxyサーバ7

ISPへのアンケート結果• ブロッキングの４方式について、設備投資の必要性、コスト、採用可能な方式、導入可能時期等をアンケート実施(2010年)• DNSブロッキング方式が採用可能な方式として最多(約50%)
理由は、現状設備のままで提供可能等コストが最も抑えられる方式であるからと考えられる• 今年度さらにアンケートを実施予定
8

ISPアンケート結果①（設備投資の必要性）• DNSブロッキング方式が比較的設備投資を必要としない手法と考えられている• 大規模事業者ほど設備投資が必要との意見が多い

ブロッキング

9ISPアンケート結果②（コストの試算）• 初期費用が抑えられる方式としてDNSブロッキング方式をあげるISPが多い• ランニング費用およびサポート費用については方式間で大きな差はないが、どちらも事業規模に比例してコストも増大• 総コストではDNSブロッキング方式が最も低廉に導入可能
ブロッキング

10

ISPアンケート結果③（採用可能な方法）• DNSブロッキング方式が採用可能であるという意見の割合大• 事業規模の拡大に伴いDNSブロッキング方式の導入回答率が減少し、いづれも不可との回答率が増加
オーバブロッキングに対するカスタマサポートへの懸念か？

ブロッキング

11

ISPアンケート結果④（実施までに要する期間）• DNSブロッキング方式が最も短期間で実現可能だと考えられている• 追加的投資の社内オーソライズ期間、運用に関わるトレーニング等の準備期間が必要とされている

ブロッキング12具体的なDNSの設定例(BINDの場合）
BIND9.7.0-P1

www.example.jp.db$TTL 0www.example.jp. 0

DNS
権威サーバDNS10NS

IN SOA root.www.example.jp. admin.www.example.jp. (2010101527 ; serial
7200; refresh (2 hours)
3600; retry (1 hour)
604800 ; expire (1 week)
600; minimum (10 minutes))
ns.www.example.co.jp.

ns 10
IN A
192.168.11.134
Ns 10
IN AAAA fe80::216:36ff:fed9:5790
www.example.jp. 0
IN A
192.168.0.10
www.example.jp. 10 IN
AAAA fe80::216:36ff:fe68:51e4

キャッシュサーバ のnamed.confzone ”www.example.jp." {type master;
file www.example.jp.db;};
1313

BIND9.7.0-P1

具体的なDNSの設定例(BINDの場合）② forward先のDNS named.conf$TTL 0www.example.jp. 10

DNSDNS
bad.example.co.jp
を別なDNSへforward

権威サーバ

DNS

zone “www.example.jp “ {type master;
file ”www.example.jp.db";};
IN SOA admin.www.example.jp. admin.www.example.jp. (2010101527 ; serial
7200; refresh (2 hours)
3600; retry (1 hour)
604800 ; expire (1 week)
600; minimum (10 minutes))
10IN
NS ns.www.example.jp.
ns.www.example.jp 10
IN A
192.168.11.134
ns.www.example.jp 10
IN AAAA fe80::216:36ff:fe92:9fb
www.example.jp.
10 IN A
192.168.0.10
www.example.jp
10 IN AAAA fe80::216:36ff:fe68:51e4① キャッシュサーバ named.confzone ”www.example.jp." {type forward;forward only;
forwarders { 192.168.11.134;
fe80::216:36ff:fe92:9fb;
};
};

1414

具体的なDNSの設定例(unboundの場合）
unbound 1.4.1

DNS
権威サーバ

DNS

① キャッシュサーバ unbound.conf
local-data: “www.example.jp 10 IN A 192.168.0.10”
local-data: www.example.jp 10 IN AAAA fe80::216:36ff:fe68:51e4

15

具体的なDNSの設定例(unboundの場合）
unbound 1.4.1② forward先のDNS unbound.conf
DNS

local-data: www.example.jp. 10 IN A 192.168.0.10
Local-data:www.exapmle.jp 10 IN AAAA fe80::216:36ff:fe68:51e4”

DNS
bad.example.co.jp
を別なDNSへforward

権威サーバ

DNS
① キャッシュサーバ unbound.conf
forward-zone:
name: ”www.example.co.jp"
forward-addr: 192.168.0.200

16リダイレクトWebサーバの設定例• ブロッキング警告画面ドメインへリダイレクト（307 TemporaryRedirect）• ブロッキング警告画面仕様はリスト管理団体により提供され、画面は各ISP毎に設置

17

ブロッキング警告画面

18

ブロッキングがDNS処理に与える影響以下のパラメータを変化させて評価を実施① DNS問合せクエリ数（500qps、1,000qps)② アドレスリスト数(500、1,000、3,000、5,000)③ DNSキャッシュヒット率(0%、50%、80%)④ ハードウェアスペック（Intel Pentium4 2.4GHz/メモリ1GB、Intel Xeon X5650 2.67GHz/メモリ8GB)⑤ DNSソフトウェア（BIND9.7.2-P3、unbound1.4.7)
19

ブロッキングがDNS処理に与える影響(1) DNS名前解決処理に与える影響
CPU、メモリ等システムリソースへ与える影響はほとんどなし(2) アドレスリスト更新処理の影響
・BINDの場合、低スペックマシンではリスト更新処理時にリスト数300で影響あり(キャッシュヒット率0%)
高スペックマシンでは改善するものの3,000リストでクエリ落ち
・unboundの場合、低スペックマシンではリスト更新処理時にリスト数300で影響あり(キャッシュヒット率0%)
高スペックマシンでは10,000リストでも影響はなくクエリ処理可20

DNSSECの概要
DNS
権威サーバ
名前問合せ

DNS

回答＋署名

DNS
キャッシュサーバ

Validation

Validation

21

リゾルバでのDNSSEC検証
Firefoxへのプラグイン(DNSSEC Validator)

22

リゾルバでのDNSSEC検証

23

DNSSECに対応させた場合の影響• キャッシュサーバをDNSSEC対応
DNS
名前問合せ

権威サーバ
回答

DNS
DNSSECDNSDNSSEC

キャッシュサーバ

Validation

forward先DNSからの回答を権威サーバのゾーン情報と検証するが失敗(ServerFail)
端末に対して名前解決はNG

24

DNSSEC検証失敗を回避する方法• 該当ホストの名前解決をDNSSEC検証対象外とする• Unboundでは、domain-insecureとすることで対応可能(BINDには設定機能なし）• クライアントからみるとDNSSEC未対応と認識
権威サーバ

DNS
名前問合せ

回答

DNS

DNS
DNSSEC

unbound.conf

DNSSEC

キャッシュサーバ

Validation

domain-insecure: "bad.example.co.jp"
forward-zone:
name: "bad.example.co.jp"
forward-addr: 192.168.11.134

25

Forward先DNSがDNSSEC対応すると？
• キャッシュサーバではDNSSEC検証はOK• クライアントでのDNSSEC検証はNG
forward先
DNS

権威サーバ

DNS
DNSSEC

名前問合せ

回答

DNS
DNSSEC

キャッシュサーバでforwad先DNSの鍵を登録

DNS
DNSSEC

キャッシュサーバDNSSEC

Validation

Validation

zone "bad.example.co.jp." {type forward;
forward only;
forwarders { 192.168.11.134; };};trusted-keys {“bad.example.co.jp.” 257 3 5“ bad.example.co.jpの公開鍵” ;};26

DNSSEC対応時のブロッキング動作• DNSSEC対応時のブロッキング用IPアドレスの名前解決の可否をパターン毎にまとめ
権威サーバ

forward
先DNS

キャッシュ
DNSサーバキャッシュサーバ
でのDNSSEC検証

クライアントでのDNSSEC検証○×

名前解決NG○×○○

DNSSEC検証
NG(ServFail)DNSSEC検証
実施しない

名前解決OK(DNSSEC
検証なし）○○○DNSSEC検証
OK

名前解決OKDNSSEC検証NG(domain-insecure設定あり）

27

リスト作成管理団体• 児童ポルノ掲載サイトのアドレスリストの作成・管理・提供• 2011/3 インターネットコンテンツセーフティ協会(ICSA)が児童ポルノ流通防止対策専門委員会により選定• 民間の２１社・団体（ISP、検索サービス事業者、フィルタリングサービス事業者）により設立
専門委員会
監督等

インターネット
利用者

インターネット
ホットラインセンタ(IHC)・サイト管理者等への削除要請

アドレスリスト
管理団体

・児童ポルノ該当性判断
・リスト除外要請対応
・リスト更新、棚卸し 等

ISP
検索事業者
フィルタリング事業者

28

DNSブロッキングリスト対象判定基準（１）① サイト開設の目的
当該ドメインに含まれるサイトの相当部分の開設目的の全部又は一部が、児童ポルノの画像 等をそれと知りながらインターネッ
ト上で流通させることにあると認められること② 児童ポルノ画像の数量
当該ドメインに含まれるサイトの中に、（ア）児童の権利等を著しく侵害するものであることが明白な画像等が存在するか、（イ）児童の権利等を著しく侵害する画像等が相当数存在するか、（ウ）児童の権利等を著しく侵害する画像等が相当の割合で存在するか、 のいずれかであること。
29

DNSブロッキングリスト対象判定基準（２）③ 発信者の同一性（ア） 当該ドメイン内に複数のサイトがある場合には、各サイトの管理者が同一であること。
（イ） （略）④ 他の実効的な代替手段の不存在
当該ドメインをDNSブロッキングの対象とすることが、①ないし③及びその他の諸般の事情 を総合的に考慮した上で、やむを得ないと認められること30

アドレスリストを入手するには？
• ICSAに入会＆リスト利用申込契約• リスト利用の場合は発起時会員２名からの推薦が必要• 会費 契約数に応じて、年５万円(1口）〜• アドレスリストの構成要素- 掲載ページのホスト名/IPアドレス/URL/DNSブロッキングの可否- 該当画像のホスト名/IPアドレス/URL/画像ハッシュ値/DNSブロッキング可否- 掲載ページのIPアドレス確認日/最終存在確認日- 該当画像のIPアドレス確認日/最終存在確認日- 事業者提供日(アドレスリスト提供日) 等• アドレスリストの取得方法

31より高精度なブロッキング手法（１）• パケットフィルタリング方式- URL単位に実施可能な装置が既に導入済であれば対応可能だが、新規に導入するには投資負担が懸念- ブロッキングに特化した安価なソリューションの出現
トラヒックを抽出
TAP

アドレスリストに合致したものに対してFINで応答

32

より高精度なブロッキング手法（２）• ハイブリッドフィルタリング方式- トラヒック集約方法としては、DNSや経路制御- URL単位でのブロッキング装置としては、proxyやDPI
アドレスリストに合致しない場合はトラヒックを元に戻す
ASyyyyASxxxx

アドレスリストに対応するIPアドレス向けのトラヒックを引き込み、URLがリストと合致すればアクセス先を警告画面にリダイレクト33

今後の課題• ISP内、ISP〜ICSA間の運用（自動化etc）• DNSブロッキング方式の効果検証（指標、計量化et)• 高精度（URL単位ブロッキング）方式の具体的方式
検討、課題抽出、ガイドライン策定（総務省実証実験の場を活用して実践的な議論をとりまとめ）• 中小規模ISPへの展開
34