DNSSECの普及度(+IPv6の普及度)
藤原和典
fujiwara@jprs.co.jp
株式会社日本レジストリサービス
http://jprs.co.jp/

1

自己紹介
• 氏名:
藤原和典
• 勤務先: 株式会社日本レジストリサービス (JPRS)• 業務内容:DNS関連の研究・開発、標準化(IETF)– RFC 5483 6116 (2004~2011):ENUMプロトコル– RFC 5504 5825 6856 6857(2005~2013):メールアドレスの国際化– RFC 8499: DNS Terminology (←RFC7719)– RFC 8198: DNSSECを用いた名前解決の性能向上– Internet Week プログラム委員 (2016~)• 個人ページ: http://member.wide.ad.jp/~fujiwara/• 略歴: 1991年からWIDEプロジェクト, 1992-1996早稲田大学情報科学研究教育センター助手, 1996-2001 TDI, 2002JPRS, 博士(工学)Copyright © 2019 Japan Registry Services Co., Ltd.

2DNSSECの普及度の考え方
1. DSが設定されているドメイン名の数/割合–––

ゾーンファイルを入手, DSがあるドメイン名を数える
NSEC3 Zone WalkingでDSがあるNSEC3を数える
dnssec-tools.org が公開している評価結果

2. DNSSEC検証するフルサービスリゾルバの数/割合
DNSSEC検証する際に . DNSKEY, JP DNSKEY を問い合わせ
JPのNegative cache TTLが900のため、DSがないJPドメイン名のDSを最大900秒ごとにJP DNSへ問い合わせる→ Root, JPでDNSKEY, DSクエリを送るIPアドレス数を数える––

3. DNSSEC検証した結果を使えるクライアント数/割合–––

APNIC Labs での評価 https://labs.apnic.net/
https://stats.labs.apnic.net/dnssec2.を使っているクライアント数
Copyright © 2019 Japan Registry Services Co., Ltd.

3

1. DSが設定されたドメイン名の観測 (1)• TLDのゾーンファイルの入手方法– .com: 使用目的を書いてVerisignに申請– その他のgTLD: ICANN CZDS で申請– ccTLD: .SE などは公開
DSの行を取り出し、owner nameをsort | uniq | wc -l• gTLDのゾーンファイルを入手してもいいし、いくつかは見られるところにあるが、別の方法で評価→ 次ページ

Copyright © 2019 Japan Registry Services Co., Ltd.

4NSEC3 Zone walking• 多くのTLDはNSEC3方式でDNSSEC署名、オプトアウトあり• DSがある委任には対応するNSEC3が存在する• そこで、 “ランダムラベル.TLD” A の問い合わせを多数送ることで、多数のNSEC3を多数入手できる• うまくすればすべてのNSEC3を入手でき、チェインにできる• DSがあるNSEC3の数を数えればよい• 最適化: NSEC3パラメータをもとにクエリ名からNSEC3を計算し、入手済のNSEC3の範囲に含まれたら問い合わせない– TLDの権威サーバの場合、DSの数程度のクエリを送ればNSEC3
チェインを入手できる• .com, .netなどの大規模ゾーンでは、チェインを収集し終わる
前にゾーンの内容が変化するため、どこかであきらめる• プログラム例: https://dnscurve.org/nsec3walker.html
Copyright © 2019 Japan Registry Services Co., Ltd.

5

Copyright © 2019 Japan Registry Services Co., Ltd.

2019/7/1

2019/1/1

2018/7/1

2018/1/1

2017/7/1

2017/1/1

2016/7/1

2016/1/1

2015/7/1

2015/1/1

2014/7/1

2014/1/1

2013/7/1

2013/1/1

100

2012/7/1

2012/1/1

2011/7/1

2011/1/1

JPでのDSあり委任数の変化

600

500

400

300

200

JPでは、DNSSECを必要としていた人が設定したあとの変化は少ない

06DSあり委任数 (stats.dnssec-tools.org)

http://stats.dnssec-tools.org/ より引用
1000万を超えている世界のドメイン名数は3.3億といわれているため、3%のドメイン名がDSあり世界ではDNSSECが普及しつつある
7

TLDでのDSあり委任数 (NSEC3 zone walk)• jpは非常に少なく500未満、co.jpなどへのTXTのほうが多い• com net org info は多いが、登録ドメイン名数の1%未満• nl, seが非常に多く、登録ドメイン名数の半分以上
TLD

日付

jp
pro
name
info
net
com
org
edu
gov
moe
se
no
nl
de

2019/10/15
2019/10/22
2019/10/22
2019/10/22
2019/10/18
2019/10/18
2019/10/10
2019/10/17
2019/10/15
2019/11/6
2019/11/6
2019/11/6
2019/10/10
2019/10/18

途中 NSEC3 DSあり
特記事項
停止 未解決 委任
3,744 No0473 RRSIG TXT 例co.jp
7,112 No
02,729
18,550 No
01,005
152,096 Yes
347,499 RRSIG A多数
162,777 Yes
5
162,476
1,338,434 Yes
886 1,338,433 さらに886以上DSあり
160,979 Yes
27
117,556 RRSIG A多数
163 No0162
5,993 No01,181 オプトアウトしていない
426 No0425
No738,595 NSEC zone walk
448,388 Yes
125
448,363 さらに125以上DSあり
2,779,850 Yes
376,171 2,779,845 さらに37万以上DSあり
624,356 Yes
266
217,991 RRSIG A多数
Copyright © 2019 Japan Registry Services Co., Ltd.
8

NSEC3数TLDごとのDSあり委任数 (dnssec-tools.org)
TLD
nl
com
se
cz
br
eu
pl
fr
no
be
de
dk
net
hu
org
nu
ch
info
app
uk

DSあり委任数
3,196,189
1,364,376
738,310676,335
579,881496,696477,790
400,106
397,439
302,786
219,046
215,672
163,502123,597
118,988
103,983
92,981
48,12740,85038,561• http://stats.dnssec-tools.org/
公開の表よりTLDごとのDSあり委任数を引用• NSEC3 zone walkの答え合
わせ (自分でやる必要はな
かった)• nl se cz br eu pl fr no be dedk hu ch ukといったヨーロッパのccTLDでDNSSECが普及している• com net org info は登録ドメイ
ン名数が多いのでDSも多い

Copyright © 2019 Japan Registry Services Co., Ltd.

9DNSSEC検証対応フルリゾルバの推定• DNSSEC検証に対応しているフルリゾルバは、EDNS0に対応し、DNSSEC OKビットをセットして問い合わせる• DNSSEC検証を行うフルリゾルバは、 . (root) DNSKEY や
jp DNSKEY、JP登録ドメイン名のDSを定期的に問い合わせる• ルート、JPでのパケットキャプチャ、クエリログをもとに調査• 大手のリゾルバサービス(Google, Quad9, Cloudflareなど)の対応は完了している

Copyright © 2019 Japan Registry Services Co., Ltd.

10

DNS-OARC’s Root Datasets• "A Day in the Life of the Internet" (DITL) is a largescale data collection project undertaken by CAIDA
and DNS-OARC every year since 2006
– https://www.dns-oarc.net/ditl/2011/– 48 hours packet capture at root DNS servers
Year
2011

Start(UTC)
Apr 12 1200

End
Apr 14 1200

Analyzed data froma c d e f h j k l m (10/13)

2012
2013
2014
2015
2017
2018

Apr 17 1200
May 28 1200
Apr 15 1200
Apr 13 1200
Apr 11 1200
Apr 10 1200

Apr 19 1200
May 30 1200
Apr 17 1200
Apr 15 1200
Apr 7 1200
Apr 12 1200a c e f h j k l m (9/13)
a c d e f h j k l m (10/13)
a c e f h j k m (8/13)
a c f h j k l m (8/13)
a c d e f h j k l m (10/13)
a c d e f h j k l m (10/13)

Copyright © 2019 Japan Registry Services Co., Ltd.

11

100%
90%
80%
70%

Rootで観測したEDNS/ DNSSEC OK/
DNSKEYクエリの割合. DNSKEYクエリの割合
EDNSクエリの割合
DOクエリの割合

60%
50%
40%
30%
20%
10%
0%

70%ほどのクエリはDNSSEC対応したソフトウェアから送られている
Copyright © 2019 Japan Registry Services Co., Ltd.

12

Rootで観測した root DNSKEYクエリの割合
0.12%
0.10%

. DNSKEYクエリの割合

0.08%
0.06%
0.04%
0.02%
0.00%

root DNSKEYは制御情報のため比率が少ないが、順調に増加
Copyright © 2019 Japan Registry Services Co., Ltd.

13

Rootで観測したEDNS/ DNSSEC OK/
DNSKEYクエリを送るIPアドレスの割合
90%
80%
70%
60%
50%
40%
30%
20%
10%
0%

. DNSKEYクエリを送るIPアドレス
EDNS0クエリを送るIPアドレス
DOクエリを送るIPアドレスDNSSEC対応したソフトウェアを使用しているＩＰアドレスが75%以上
DNSSEC検証に対応していると考えられるIPアドレスが27%程度
Copyright © 2019 Japan Registry Services Co., Ltd.

14

JP datasets• 2006年4月からA.DNS.JPとG.DNS.JPのクエリログをす
べて保存– G.DNS.JPは2008年10月に追加されたため、それ以降• 2009年から、Root DITLデータ収集と同時期などに全JP DNSのパケットキャプチャデータを収集• そのうちクエリログを用いて日々の JPドメイン名へのDS
クエリ数を送るIPアドレス数の変化を示す– JPドメイン名のDSがない委任では、ネガティブキャッシュのTTL値が900秒のため、DSが存在しないという情報は900秒
しかキャッシュされない– 委任のNSは1日キャッシュされる• キャッシュにあるNS RRSetをみてDNSSEC検証しようとしてもDSが存在しないという情報がない可能性あり → DSだけ問い合わせ– DNSSEC検証サーバはDS設定していないJPドメイン名のDSクエリを頻繁に送ることが想定される• 最大 通常クエリの 86400 / 900 = 96倍
Copyright © 2019 Japan Registry Services Co., Ltd.

15

100%
90%
80%
70%
60%
50%
40%
30%
20%
10%
0%

JP DNSでのEDNS0, DO, DSクエリ

DSクエリの割合
EDNS0クエリの割合
DNSSEC OKクエリの割合• EDNS0,DNSSEC OKはソフトウェアのDNSSEC対応を示す• 80%ほどのクエリはDNSSEC対応ソフトウェアからくる
Copyright © 2019 Japan Registry Services Co., Ltd.

16

7%
6%

JP DNSでのJPドメイン名DSクエリ
DSクエリの割合

5%
4%
3%
2%
1%
0%

JPドメイン名に関心を持つDNSSEC Validatorは増えていない
DNSSEC Validatorが増えて、JPでのDS登録が増えない場合、ほとんどのクエリがDSとなるみこみ (うれしい悲鳴？)
Copyright © 2019 Japan Registry Services Co., Ltd.
17

100%
90%

JP DNSでのEDNS0,DNSSEC OK,
DSクエリを送るIPアドレスの割合

80%
70%
60%
50%

DSクエリを送るIPアドレスの割合

40%

EDNS0クエリを送るIPアドレスの割合

30%

DNSSEC OKクエリを送るIPアドレスの割合

20%
10%
0%

• 80%のIPアドレスはDNSSECに対応したソフトウェア• 20%のIPアドレスはDNSSEC検証している可能性あり
Copyright © 2019 Japan Registry Services Co., Ltd.

18

クライアントからみたDNSSEC検証• APNIC Labs での評価 https://labs.apnic.net/– Google広告を使い、ブラウザでHTML5を実行させ、指定したドメイン名の名前解決を行い、結果をAPNICのサー
バに収集– 権威サーバ側のデータと組み合わせて判定– 調査結果: https://stats.labs.apnic.net/dnssec

Copyright © 2019 Japan Registry Services Co., Ltd.

19

クライアントからみたDNSSEC検証の普及率
https://stats.labs.apnic.net/dnssec/XA?hc=XA&hx=0&hv=1&hp=1&hr=1&w=7&p=0• https://stats.labs.apnic.net/dnssec• 2013年11月から2019年11月のグラフ• 2019年11月には24%のクライアントがDNSSEC検証

20

クライアントからみたDNSSEC検証:国別
https://stats.labs.apnic.net/dnssec

日本は8.74%
CN 0.98%
US 23.64%
FI 67%
DK 77%SE 83%
NO 81%

Copyright © 2019 Japan Registry Services Co., Ltd.

21

DNSSEC検証率とリゾルバの種類
CC
JP
CN
US
DE
FI
DK
SE
NO
NL
CZ
MO
IN
SA
AI

DNSSEC 同じAS内 google
検証率 リゾルバ pdns
8.73%
61.71%
2.99%
0.92%
56.41%
3.14%
25.22%
36.50%
6.74%
51.24%
45.02% 10.95%
68.05%
57.40%
6.49%
80.03%
82.30%
6.30%
82.68%
75.89%
5.33%
82.09%
73.22%
7.67%
19.73%
49.18% 11.00%
69.94%
69.96% 12.92%
5.43%
80.86%
7.88%
52.56%
19.81%
8.05%
95.00%
47.86%
2.99%
61.73%
25.66% 66.42%• https://stats.labs.apnic.net/rvrs/XA
各国のリゾルバの分類と、
https://stats.labs.apnic.net/dnssec/
各国のDNSSEC検証率の表をマージ• DE FI DK SE NO CZなど、ヨーロッパ
諸国でDNSSEC検証率が高く、同じAS内のリゾルバがDNSSEC対応• SAの検証率が高く、大手のISPがDNSSEC対応 (詳細は次ページ)• AI (Anguilla, カリブ海) など小さな国ではGoogle Public DNS利用率が高いためにDNSSEC検証率が高い– ISPがGoogle Public DNSを使わせている
可能性あり• JP, CN, MOは同じASのリゾルバを使う割合が高いが、DNSSEC検証率が低め

Copyright © 2019 Japan Registry Services Co., Ltd.

22

SAでのDNSSEC検証率とAS
https://stats.labs.apnic.net/dnssec/SA?hc=SA&hx=0&hv=1&hp=0&hr=0&w=7

2018年9月から60%以上に大規模なISPがDNSSEC検証対応
23

JPでのDNSSEC検証率とAS
https://stats.labs.apnic.net/dnssec/JP?hc=JP&hx=0&hv=1&hp=0&hr=0&w=7

DNSSEC検証率10%程度

検証率が高いASあり

24

DNSSEC普及についてのまとめ• DNSSECでのドメイン名運用– ほとんどのgTLD, 多くのccTLDがDNSSECに対応している– ドメイン名登録者は2011年からDNSSECを使える(jp, 多くのgTLD)– JPドメイン名でのDS設定は461程度と少ない• DNSSEC検証について– ルートやJPでみて、20%以上のIPアドレスはDNSSEC Validatorだと推定される– 北欧、ドイツ、チェコ、サウジアラビアなどではISPが対応しているよ
うにみえる– USではComcastが対応– 特にサウジアラビアでは2018年9月からDNSSEC検証が普及– JP CN MOなどではDNSSEC検証率が低め– 日本でもDNSSEC検証率が高いASがある
Copyright © 2019 Japan Registry Services Co., Ltd.

25

(DNSからみた)
IPv6の普及状況

Copyright © 2019 Japan Registry Services Co., Ltd.

26

JPドメイン名でのIPv6設定状況• JPRSでは、2006年からゾーンファイルなどを保存している– （それ以前のものもあるはずだが、取り出しにくいので)• JPゾーンファイルのホスト情報(JPドメイン名)にIPv6アドレスを設定しているものは数えられる→ IPv6アドレスを持つホスト情報を参照するドメイン名数• ただし、JPゾーンファイルからわかるものは一部だけ– JP以外のネームサーバ名のものは、過去の情報がわからない– JPでも、JPゾーンにないネームサーバ名はわからない• 現在の情報は、別途名前解決を行って集計可能
Copyright © 2019 Japan Registry Services Co., Ltd.

27

JPゾーンファイル例 (一部)
jp. IN SOA z.dns.jp. root.dns.jp. 1560495602 3600 900
1814400 900
JPゾーンファイルだけ
でIPv6ネームサーバ
jp. IN NS
a.dns.jp.
があることがわかる
dnslab.jp. IN NS ns.dnslab.jp.
(過去の評価も可能)
ns.dnslab.jp. IN AAAA 2001:200:132:7::3
ns.dnslab.jp. IN A 203.178.129.35
ゾーンファイルだけでwide.jp. IN NS ns-wide.wide.ad.jp.
はIPv6ネームサーバ
ns-wide.wide.ad.jp. IN AAAA 2001:200:0:1::f があるかわからない
別途、ネームサーバ
ns-wide.wide.ad.jp. IN A 203.178.136.59
名の名前解決を行い、AAAAリソースレコー
jpdirect.jp. IN NS dns-b.iij.ad.jp.
ドがあるか判定する
jpdirect.jp. IN NS dns-c.iij.ad.jp.
必要あり(過去に遡れない)
Copyright © 2019 Japan Registry Services Co., Ltd.

28

JPゾーンファイルから見たIPv6対応の変化
ホスト情報数

1000
900
800
700
600
500
400
300
200
100
0

ドメイン名数

90000
80000
70000
60000
50000
40000
30000
20000
10000
0

IPv6アドレスを持つホスト情報数

2019/4/1

2018/4/1

2017/4/1

2016/4/1

2015/4/1

2014/4/1

2013/4/1

2012/4/1

2011/4/1

2010/4/1

2009/4/1

2008/4/1

2007/4/1

2006/4/1

IPv6ネームサーバを持つドメイン名数

各月の1日の情報をプロット
Copyright © 2019 Japan Registry Services Co., Ltd.

29

JPドメイン名の状況 (2019/6/21)• ゾーンファイルではよくわからないので、JP登録ドメイン名の名前
解決で調査 (接続まではしていないことに注意)– ドメイン名$dom {SOA,NS,A,AAAA}, www.$dom {A,AAAA}, ネームサー
バ名 $ns {A,AAAA}を問い合わせ– 2019/6/21朝のJPゾーンにあるドメイン名に6/21中に問い合わせ• ネームサーバ設定されているもの
これを100%として以下を集計• ドメイン名 SOAの名前解決できたもの– そのうち、IPv6ネームサーバをもつもの– IPv6サーバのみ

1,540,542
1,452,053 (94.3%)
315,621 (20.5%)
17• ドメイン名頂点またはwww. にAが指定
1,350,642 (87.7%)• ドメイン名頂点またはwww. にAのみ(IPv4のみ) 1289008 (83.7%)• ドメイン名頂点またはwww. にAAAAのみ(IPv6のみ) 17• ドメイン名頂点またはwww. にAAAAとＡ
61634 (4%)• ドメイン名頂点またはwww. にAAAA
61651 (4%)– ネームサーバがIPv6アドレスを持つ– ネームサーバがIPv4アドレスのみ

54074 (3.5%)
7577 (0.5%)

Copyright © 2019 Japan Registry Services Co., Ltd.

IPv6対応IPv4に依存30

JP DNSへの問い合わせの変化
30%
25%

Ratio of IPv6 query source addresses
Ratio of IPv6 queries
Ratio of AAAA queries

a.dns.jp及びg.dns.jpで観測した問い合わせを分析(JP DNSのうち1/6から2/8)

20%
15%
10%
5%
0%

Copyright © 2019 Japan Registry Services Co., Ltd.

31

JP DNSへの問い合わせの変化
30%
25%• JP DNSに問い合わせを送るアドレスの8%がIPv6 (2010年は2%)• IPv6での問い合わせは2010年の1%かRatio of IPv6 query source addresses
ら2019年には16%程度に増加
Ratio of IPv6 queries• 大規模なフルリゾルバが対応？
Ratio of AAAA queries• ＡＡＡＡクエリは2010年でも10%

20%
15%
10%
5%
0%

Copyright © 2019 Japan Registry Services Co., Ltd.

32

人気あるドメイン名の対応状況• リスト: http://s3-us-west-1.amazonaws.com/umbrella-static/top-1m.csv.zip– 登録ドメイン名に整形, 重複削除 → 約23万 そのうち10万調査– ドメイン名$dom {SOA,A,AAAA}, www.$dom {A,AAAA}– unboundに問い合わせ (IPv4-onlyとIPv6-onlyを用意)
IPv4 only
IPv6 only
IPv4 only
IPv6 only
IPv4 only
IPv6 only

応答なし SOA応答あり Aあり
AAAAあり 両方なし 両方あり
1 - 1000
6
994
791
167
203
167
1 - 1000
168
831
653
134
179
134
1 - 10000
90
9,894
8,490
1,654
1,420
1,654
1 - 10000
2,321
7,653
6,450
1,397
1,229
1,397
1 - 100000
8,633
90,883 84,078
17,611
7,280 17,602
1 - 100000
36,434
63,136 57,615
15,391
5,942 15,382– IPv6のみで名前解決できたドメイン名が 63136(63%) (SOA応答)• DNSサーバのIPv6対応は進んでいる (DNSプロバイダが対応か？)– そのうちゾーン頂点またはwwwにAAAAあるものが 15391 (15%)• WebサーバのIPv6対応は遅れているが JPの3.5%よりは多い– 名前解決できないものや、SOA応答がないものが10%• 存在しないもの (lan, local, home) や非終端ドメイン名 (com.fj) 掃除不足
Copyright © 2019 Japan Registry Services Co., Ltd.

33

IPv6普及状況のまとめ• IPv6対応ドメイン名は増加傾向にあり、JPの3.5%• 大規模ISPはIPv6に対応し、ＪＰでのIPv6での問い合わせは2010年の1%から2019年には16%に増加

Copyright © 2019 Japan Registry Services Co., Ltd.

34

Acknowledgements• DNS-OARC as the data source of Root dataset• Referred APNIC Labs data and graphs– https://stats.labs.apnic.net/dnssec– https://stats.labs.apnic.net/rvrs/• Referred stats.dnssec-tools.org data and graphs– http://stats.dnssec-tools.org/

Copyright © 2019 Japan Registry Services Co., Ltd.

35