JAPAN REGISTRY SERVICESＪＰＲＳ トピックス＆コラム

No. 017■本格運用が始まったＤＮＳＳＥＣ～運用ノウハウの蓄積と共有が今後の課題に～
ルートゾーン及び．ｊｐゾーンにおけるＤＮＳＳＥＣ対応が完了し、本格運用が始まりました。
ルートゾーンとＴＬＤにおけるＤＮＳＳＥＣの導入状況と今後の課題について解説します。
■ルートゾーンへの DNSSEC 導入の実現の時間を要したこと、インターネットにおける意思決定あるドメイン名を DNSSEC で検証するためには、検証する側が信頼の拠点（トラストアンカー）として設定したの構造が複雑化し、より多くの時間を要するようになったことなどが挙げられます。

ゾーンからそのドメイン名のゾーンまでのすべての階層

中でも一番大きなものとして、インターネットそのものにおいて、DNSSEC による信頼の連鎖が構築されていの重要性の向上を挙げることができます。その誕生からる必要があります。

現在までの間に、研究者や技術者のためのネットワー

DNS はルートゾーンを基点とする階層構造により構クであったインターネットはその役割を大きく変え、今や成されています。そのため、ルートゾーンが DNSSEC に重要な社会基盤の一つとして、私たちの活動に不可欠対応することにより、DNS における権限委任の構造とともいえる存在になりました。これは、インターネットそのDNSSEC における信頼の連鎖の構造を一致させることものが大きく成長しその重要性が飛躍的に向上したこができ（図 1）、従来の DNS における管理運用の仕組とを示していますが、一方、その管理運用、特にみを DNSSEC にそのまま適用することができます。このDNSSEC や IPv6、あるいは国際化ドメイン名（IDN）などため、ルートゾーンに対する DNSSEC の導入の実現が、といったインターネットの根幹部分に対する新技術の導長年にわたり強く望まれてきました。

入に対し、より慎重な検討が求められるようになったと

鍵情報照合
トラスト
アンカー

ルート
ヒント

キャッシュ
DNS
サーバー

ルートゾーン参照

クライアントDNSにおける権限委任
DNSSECにおける信頼の連鎖

ルートKSK

ルートゾーン
jp
NS

署名jp
DS

署名

ルートZSK

鍵情報照合
jp
署名
KSKjp
署名jp
ゾーン
ZSK
example.jp example.jp
NSDS
鍵情報照合
権限委任
example.jp
署名
KSKいうことも意味しています。

▼慎重に進められたルートゾーンへの導入
そのため、ルートゾーンへの DNSSEC の導入は、既

権限委任

example.jp

ゾーン

署名

example.jp
ZSK

図 1：DNS の権限委任と DNSSEC の信頼の連鎖▼ルートゾーンへの導入が遅れた理由
このような背景から、ルートゾーンにおける DNSSEC存のインターネットへの影響を最小限にとどめるべく、細心の注意を払った慎重かつ段階的な導入が図られることとなりました。ルートゾーンへの DNSSEC の導入を図る専門のデザインチームが ICANN に組織され、DNS-OARC1 などの専門家の協力を得ながら、既存のDNS への影響を最小限にとどめる形で導入が進められていきました。の導入は、DNSSEC が開発され始めた 1990 年代からそして、これに並行する形でルートゾーンの管理を2000 年代を通じての、解決すべき大きな課題の一つと担当する IANA における体制の整備が進められ、TLDなりました。しかし、いくつかの理由によりルートゾーンからの DS 情報の登録申請を受け付けるための準備がへの DNSSEC の導入は、当初の目論見よりも大きく遅整えられました。

れることとなりました。
ルートゾーンへの DNSSEC の導入が遅れた理由として、DNSSEC のプロトコルそのものの開発に想定以上

Copyright © 2011 株式会社日本レジストリサービス

1

The DNS Operations, Analysis, and Research Center
インターネットで広く利用されている DNS に関する運用、分析、調査研究に関する各種活動を通じ、DNS をより安全で高品質なものとすることを目的として、2004 年に設立された国際組織です。

※掲載内容は2011年1月現在のものです。

1

JAPAN REGISTRY SERVICES▼本格運用開始に向けた大きな一歩が実現
その後、ルートゾーンにおける鍵署名鍵（KSK）の作成・使用のための作業が、世界のインターネットコミュニティを代表するメンバーである TCR2の立会い・参加のに指定事業者からの DS レコードの登録受け付けと JP
DNS における提供を開始し、JP ドメイン名サービスにおける DNSSEC の正式運用を開始しました。
2011 年第一四半期には、.com における DNSSEC の運用も開始されます。これにより.jp 及び.com という、日下で進められました。
そして、DNS 応答の偽造による脅威を最初に指摘し3

本で最も多く運用されている二つの TLD においてた論文 が執筆されてから 20 年目となる 2010 年、ルート

DNSSEC の本格運用が開始され、今後の普及に向けゾーンへの DNSSEC の導入が実現し、本格運用開始た新たな段階を迎えることになります。に向けた大きな一歩を踏み出すこととなりました。

■運用ノウハウの蓄積・共有が今後の課題■TLD における DNSSEC の導入が急速に進展

一方、DNSSEC への本格対応が世界的に始まったルートゾーンの DNSSEC への対応を受け、TLD にお2010 年には、DNSSEC に関連する障害が TLD を含む

ける DNSSEC の導入が急速に進展しています。2011 年

いくつかのドメイン名において発生しました。2010 年に1 月 3 日現在、ルートゾーンに存在する 295 の TLD の発生した DNSSEC に関連する主な障害事例を表 2 に

うち 65 の TLD が自らのゾーンの DNSSEC 署名を実施示します。

しており（表 1）、そのうち 59 の TLD がルートゾーンへの DS レコードの登録・公開を完了しています。
TLD種別

ccTLD

gTLD
その他

主なTLD
be（ベルギー）, bg（ブルガリア）, br（ブラジル）,ch（スイス）, cl（チリ）, cz（チェコ）, dk（デンマーク）,eu（欧州連合）, fi（フィンランド）, fr（フランス）,gr（ギリシャ）, in（インド）, jp（日本）, my（マレーシア）,se（スウェーデン）, th（タイ）, uk（英国）, us（米国）など
asia, biz, cat, edu, gov, info, museum, net, org
arpa

表 1：ゾーンの署名を実施済みの主な TLD■本格運用が始まった DNSSECJPRS では 2009 年 7 月に JP ドメイン名におけるDNSSEC 対応を正式に表明し、具体的な準備を進めて組織名・概要／ドメイン名
RIPE NCC（欧州地域のRIR）
Nominet UK（.ukのccTLDレジストリ）
Mozilla Foundation（mozilla.org）
Internet Architecture Board（iab.org）

障害の原因・概要
管理システムの障害による署名の有効期限設定ミス
主システムとバックアップシステムにおける鍵の相違
自ゾーンの署名よりも先にDSレコードを親に登録
署名の有効期限切れ
オペレーションミスと思われる

表 2：2010 年に発生した主な障害事例
今後、このような障害の早期発見と再発防止を図っていくためには、DNSSEC に関する運用経験とそこから得られるさまざまな運用ノウハウの蓄積と共有が必要になります。

きました。その後、2010 年 10 月に.jp ゾーンへのJPRS では関係者と共同で進めている技術検証結果

DNSSEC 署名を、2010 年 12 月にルートゾーンへの DSや DNSSEC 関連技術文書・関連 RFC の翻訳の公開、情報の登録・公開を実施しました。

DNSSEC の導入・普及のために設立された DNSSEC ジ

JPRS では.jp ゾーンへの署名、及びルートゾーンにおける DS 情報の登録・公開がインターネットに悪影響を及ぼさなかったことを確認した後、2011 年 1 月 16 日

ャパンにおける活動などを通じ、運用経験と運用ノウハウの蓄積・共有を図っています。
DNSSEC によりインターネットの安全性を向上させる
ためには、インターネットで DNS を管理運用するすべて

2

Trusted Community Representatives の略で、「信頼されたコミュニティの代表者」を意味しています。TCR は DNSSEC で使用する鍵の生成・保管のための機器の稼動や、鍵の生成・更新のために実行される一連の手続き（キーセレモニー）への参加などの役割を担います。
3
既に広まりつつあったインターネットへの影響の大きさを考慮し、著者のスティーブン・ベロビン氏はこの論文を 5 年後の 1995 年まで発表しませんでした。

Copyright © 2011 株式会社日本レジストリサービスの関係者の協力が欠かせません。JPRS では今後も各方面の関係者と協力しながら、DNSSEC の導入を推進していきます。

※全てのコラムは http://jpinfo.jp/topics-column/ でご覧いただけます。 2