ETJPシステムにおけるセキュリティについて

2004-07-27 ETJP PandS活動報告資料

０．はじめに•この文書の目的– ETJPシステムに関する現状を記述する– ETJPシステムについての• セキュリティ的観点からの評価・要件整理を• 既存のENUMモデルに照らし合わせることにより実施する

2

１．ETJP申請情報の分類

••
•

会員情報
– 組織情報、活動への貢献内容、責任者情報、事務連絡先情報
ETJP番号情報– +8100配下の７桁以上１2桁以下の任意の番号
DNS資源情報（NS,NAPTR,DS）– ETJP番号に対し設定するDNSリソースレコード– NS登録はTier1 DNS機能、NAPTR登録はTier2 DNS機能– NS登録時にはDS（DNSSEC機能）登録を併せて行うことが可能

3２．関連するユーザの分類

••

•

•

ETJP ENUMレジストリ– Tier0相当のネームサーバ運用を行う– e164.jpをゾーンとして使用– e164.arpaの委任を受けるまでの暫定運用– 運用実体はJPRS
ETJP事務局‥認証局相当– ETJPにおいて会員入会管理を行う– 会員のID/パスワードを発行
ETJPレジストリ‥Tier1＋2 レジストリ・レジストラ相当– ETJP レジストリシステム・DNSの運用・管理を行う– 会員に電話番号空間の割り振りを行う– 会員からNS設定申請を受け、処理する– 会員からNAPTR設定申請を受け、処理するETJP会員‥Tier2レジストリ・レジストラ＋レジストラント相当– JPRSに対し番号空間取得の申請を行う– ETJP番号に対するNAPTRまたはNSレコードを登録する– NSレコード登録時は、会員自身でTier2 DNSを設定する
4

３．用語について

•••
•

MUST
SHOULD
RECOMMENDED
MAY

要件を満たすためには実装・対応が必須
要件を満たすためには実装・対応されるべき要件を満たすためには実装・対応されるのが望ましい
要件を満たす上で実装が行われてもよい→上のものほど要求度合いが高くなる→基本的にはRFC2119の定義に従う

5

４．ＥＮＵＭにおける役割定義について（参考：ENUM研究Ｇ報告書 Ｐ６４
米ENUMフォーラム ENUM Forum Specification for US implementation of ENUM P13-14）
ルートサーバ
：登録情報
：名前解決

Tier0
レジストラ

Tier0レジストリ

認証機関（セカンダリ）
Tier1
レジストラ

Tier1レジストリ
（マスタ）

認証機関
（セカンダリ）
Tier2
レジストラ

Tier2レジストリ（マスタ）

登録者（レジストラント）
6

エンドユーザのネームサーバ

エンドユーザ４−１．ＥＴＪＰにおける役割定義について
ルートサーバ：登録情報：名前解決
ETJP ENUMレジストリ(e164.jp使用）
ETJP事務局

Tier0
レジストラ

認証機関

※Tier1・Tier2が一体の場合あり

Tier0レジストリ

ETJPレジストリ
Tier1レジストリ

Tier1
レジストラ

（マスタ）

（Tier2レジストラ＝ETJP）（Tier2レジストラ＝ETJP）

認証機関

Tier2
レジストラ

（Tier2レジストラ＝ETJP）（Tier2レジストラ＝会員）（Tier2レジストラ（Tier2レジストラ＝会員）＝ETJP）

Tier2レジストラ（Tier2レジストラ＝会員）（Tier2レジストリ＝ETJP）（Tier2レジストリ＝会員）

Tier2レジストリ（マスタ）（Tier2レジストリ＝ETJP）

ETJP会員（Tier2レジストラ
ETJP会員＝会員）

Tier2レジストリ（マスタ）（Tier2レジストリ＝会員）

登録者（レジストラント）
7

エンドユーザのネームサーバ

エンドユーザ５．ETJPの役割（間）において扱う情報について
ルートサーバ①②：会員情報④⑥⑦⑨⑩：ETJP番号情報、DNS資源情報③⑮⑯：なし
⑤⑧⑪：（ＥＴＪＰの規定範囲外）
21 22 23 24⑫⑬⑭⑰⑱⑲⑳○○○○：DNS資源情報⑲⑫：名前解決⑨（スレーブ）Tier1レジストリ⑳

Tier0レジストリ
⑬

⑧

Tier0
レジストラ

：登録情報

認証機関
①

Tier1
レジストラ

（マスタ）

21
○

⑮

⑥

②

エンドユーザのネームサーバ（スレーブ）
22○
Tier2レジストリ

⑯

⑩

Tier2
レジストラ

④

認証機関⑭③（マスタ）⑰⑪⑦（スレーブ）23○
Tier2レジストリ

Tier2
レジストラ
⑤（マスタ）⑱

登録者（レジストラント）
824○

エンドユーザ６．ETJPの役割（間）に適用するセキュリティについて
ルートサーバ①②④⑦：https（ID+PW)⑥⑨⑩：SSL③⑮⑯：なし⑤⑪⑬⑭⑰⑱：安全な手順⑧⑫⑲⑳： （ＥＴＪＰの規定範囲外）
21 22 23 24○○○○：DNSSEC

：登録情報

⑳

⑧

Tier0
レジストラ

⑲⑫：名前解決

Tier0レジストリ
⑬

MUST

認証機関

MUST

Tier1
レジストラ
MUST

21
○
RECOMMENDED⑮②

RECOMMENDED

MUST
MUST

⑯
MUST

MUST

MUST

③（マスタ）
MUST
RECOMMENDED

Tier2
レジストラ

RECOMMENDED（スレーブ）
23 RECOMMENDED○
Tier2レジストリ⑤RECOMMENDED（マスタ）

RECOMMENDEDMUSTRECOMMENDED⑰
SHOULD⑪⑦

MUST

エンドユーザのネームサーバ（スレーブ）
22○
RECOMMENDED
Tier2レジストリ⑩Tier2
MUST
レジストラ

④

認証機関

MUST

MUST
MUST （マスタ）
⑭MUST

⑥MUST

MUST

⑨MUST

MUST

（スレーブ）
MUST
Tier1レジストリ

①MUST

⑱

RECOMMENDED

登録者（レジストラント）
924○

エンドユーザRECOMMENDED

６-２．ETJPの役割（間）に適用するセキュリティについて(続き)

••
•

•

•

④⑥⑦⑨⑩⑬について、ENUM ForumではEPP/HTTPSが規定されることへの検討事項：– ④⑦については、ETJPではユーザ認証をID・パスワードベースとし、データ通信路にhttpsを利用しているため、十分なセキュリティを有すると考える– ⑥⑨⑩については、ETJPでは同一マシン内にて実装されており、一体運用されるため、通信プロトコルとしてSSLで十分と考える– ⑬については、ETJPではTier0/Tier1ともにJPRSがccTLD管理のノウハウ・経験を活用し運用を行っているため、十分な安全性があると考える
21 〜2４ の名前解決はDNSSEC対応済みであるが、DNSSEC実装の普及状況を鑑みて、ユーザサイドでは RECOMMENDED 扱いとする
23 の名前解決についてのサーバサイドの要件は SHOULD に設定するが、上記と同様の理由から、各組織においては、DNSSEC実装の状況に応じて対応するものとする⑭⑰については、ENUM ForumではTSIGが規定されるが、ETJPではTier1/Tier2
ともにJPRSがccTLD管理のノウハウ・経験を活用し運用を行っているため、十分な安全性があると考える⑤⑪⑱については、特段のプロトコル規定は行わないが、ユーザ情報の漏洩、DNS資源情報の改竄防止について、各組織における十分な検討が行われることが望まれる
10

７．その他 考慮すべき項目とセキュリティ対応について（参考：米ENUMフォーラム ENUM Forum Specification for US implementation of ENUM P26）

Ｔｉｅｒ１（＆２）ＤＮＳ（ＥＴＪＰ事務局保有）について
・物理的対処ＤＮＳサーバ設置場所の規定/サーバ室への入室人員の制限/セキュリティスタッフの配置/他ＬＡＮとの接続制限 など・・・・
・ネットワークのセキュリティ・バックアップの規定
・セキュリティ監査と報告
ＥＴＪＰトライアルにおいては、- 会員内実験運用に閉じている- レジストリシステム、Tier0/1/2（JPRS保有）DNSについては、物理的にはJPRS担当者以外立ち入ることができない場所において、ｃｃTLD管理のノウハウ・経験に基づき管理されているため、上記要件のうち、物理的対処の一部とネットワークセキュリティのみを対象としたうえで、これら要件を満足すると考える
Ｔｉｅｒ２ＤＮＳ（会員保有） について
前項6-2において記述されるレベルでの運用が行われることで要件を満たすと考える
11