DNSSECジャパン	  DNSSEC 技術検証WG 活動報告
技術検証WG	  Chair	  豊野 剛	  toyono@mfeed.ad.jp

2011/4/20

DNSSEC.jp	  Spring	  Forum	  20110

DNSSECジャパン	  技術検証WGの位置づけ
DNSSECジャパン	  事務局	  技術検証WG	

広報WG	

運用	  ワークショップ	

運用技術	  SWG	2011/4/20

DNSSEC.jp	  Spring	  Forum	  2011

プロトコル
理解	  SWG	
1

技術検証WGの活動⽬目的
1. WGメンバが持つサービスやプロダクトにどのような影響が⽣生じるかを調査，および実験環境の中で確認する	  2. WGメンバが持つサービスやプロダクトのDNSSEC対応状況を確認し，運⽤用ノウハウを共有・蓄積する	  3. 蓄積したノウハウは必要であれば積極的にBCPやガイドラインとして公開する	  2011/4/20

DNSSEC.jp	  Spring	  Forum	  20112

技術検証WGの活動• 期間	  – 約1年（10年1⽉月25⽇日~11年4⽉月11⽇日）	  • 活動内容	  – 定例会合13回	  • 各検証項⽬目，実証実験等にて不定期に打合せ	  – （gTLD）レジストラ移転検証，JPRS	  DNSSEC技術検証環境	  • 活動形態	  – メンバは親会から参加	  • 予算は持たず，必要ならメンバ同⼠士で持ち出し	  – 成果はメンバ内で取りまとめ，資料公開	  • 公開に関しては親会および広報WGと連動

2011/4/20

DNSSEC.jp	  Spring	  Forum	  20113

技術検証WG 活動報告	  活動項⽬目
技術検証WG	

調査	

検証	

①国際動向・技術情報調査	

④シナリオシミュレーション	

②レジストリ・レジストラI/F調査	

⑤ネットワーク接続機器検証	

③関連ツールの比較調査	

⑥レジストラ移転検証	検証環境提供	
技術検証環境	
2011/4/20⑦gTLDレジストラ移転実験	
⑧NGN検証	DNSSEC.jp	  Spring	  Forum	  2011

4

DNSSECに関わるステークホルダは多様

root,	  TLDs,	  ccTLDs…	  	  	  DNS	  registries	  The	  Internet	Domain	  registrars	  Domain	  resellers
XSPs	  DNS	  caching	  servers

Non	  
Internet	  services	  2011/4/20

Domain	  holders	  Security	  appliance	  Home	  routers/adapters	  Users
DNSSEC.jp	  Spring	  Forum	  20115• 全般	  技術検証WG 活動報告	  公開した資料– DNSSECの仕組みと現状	  – DNSSEC導⼊入に当たって	  DNSSECジャパンのサイト内で公開中	  hSp://dnssec.jp/	  • 運⽤用者向け	  – DNSSECツール調査報告	  – キャッシュDNSサーバDNSSEC導⼊入ガイドライン	  – DNSサーバDNSSEC導⼊入Load	  Balancer機能チェックリスト	  • レジストリ，レジストラ向け	  – レジストリの鍵登録インターフェースに関する調査報告	  – レジストラ移転ガイドライン	  • セキュリティ・鍵管理	  – DNSSECを利⽤用するリゾルバーのためのトラストアンカーの設定
⽅方法について	  – DNSSECにおける鍵管理	  – DNSサーバDNSSEC導⼊入鍵管理チェックリスト

2011/4/20

DNSSEC.jp	  Spring	  Forum	  20116

技術検証WG 活動報告	  公開予定の資料• gTLDレジストラ移転実験及び検証報告	  – gTLDレジストラを⽤用い，DNSSECドメイン移転（レジストラ・NS）の実験結果を報告予定	  • 最新動向サマリ	  – 定期会合で実施している国内外の最新動向報告をとりまとめて公開予定	  • リセラDNSSEC移⾏行行時のチェックポイント	  – ドメインリセラがDNSSECサービスを提供するに当たって必要なシステム要件を取りまとめた結果を報告予定	  

2011/4/20

DNSSEC.jp	  Spring	  Forum	  20117

技術検証WG 活動報告	  公開資料について• DNSSECジャパンのサイト内で公開中	  – hSp://dnssec.jp/	  • 質問・ご意⾒見見・連絡先	  – DNSSEC	  ジャパン事務局 ＜sec@dnssec.jp＞	  • 免責	  – 慎重に検証した結果を公開しておりますが完全性及び正確性を保証しません	  – 公開情報のupdateはbest	  eﬀortです	  2011/4/20

DNSSEC.jp	  Spring	  Forum	  20118

技術検証WG 活動報告	  -­‐	  各活動項⽬目について，公開資料から -­‐2011/4/20

DNSSEC.jp	  Spring	  Forum	  2011

9

•

全般	  

技術検証WG 活動報告	  公開した資料から– DNSSECの仕組みと現状	  – DNSSEC導⼊入に当たって	  •

運⽤用者向け	  – DNSSECツール調査報告	  – キャッシュDNSサーバDNSSEC導⼊入ガイドライン	  – DNSサーバDNSSEC導⼊入Load	  Balancer機能チェックリスト	  •レジストラ，リセラ向け	  •セキュリティ・鍵管理	  – レジストリの鍵登録インターフェースに関する調査報告	  – レジストラ移転ガイドライン	  – gTLDレジストラ移転実験及び検証報告（予定）	  – DNSSECを利⽤用するリゾルバーのためのトラストアンカーの設定⽅方法について	  – DNSSECにおける鍵管理	  
– DNSサーバDNSSEC導⼊入鍵管理チェックリスト	  2011/4/20

DNSSEC.jp	  Spring	  Forum	  201110

公開資料	  	  「DNSSECの仕組みと現状」 	  「DNSSEC導⼊入に当たって」• ⽬目的	  – DNSSECの仕組み，必要性を解説する	  – 事業に導⼊入するに当たって検討すべき項⽬目を整理する	  • 想定する読者：	  – DNSSECに業務として関わる⽅方全般	  – 特に，設計，運⽤用計画をボスに説明しなければいけなくなった⼈人	  2011/4/20

DNSSEC.jp	  Spring	  Forum	  201111

公開資料	  	  「DNSSECの仕組みと現状」 	  「DNSSEC導⼊入に当たって」• DNSSEC導⼊入に当たって検討すべき項⽬目（抜粋）	  – ⾃自社の関連サービス，影響範囲を洗い出す	  • DNSホスティング，ドメイン登録（代⾏行行）…	  – それぞれのサービスについて以下を検討	  • サーバ更改，DBシステム構築	  • 業務フロー変更，エンジニア教育	  • 約款変更，免責の確⽴立立，サポート体制	  – コストの算出	  • イニシャルコスト，システムコスト	  • 導⼊入後の運⽤用コスト，サポートコスト	  • コスト外のPros/Cons（Branding，運⽤用失敗リスク等）

2011/4/20

DNSSEC.jp	  Spring	  Forum	  201112

公開資料	  

「レジストリの鍵登録I/Fに関する調査報告」• 調査の⽬目的	  – レジストリ，レジストラ，リセラの各ステークホルダ間におけるDNSSECに対応するための鍵登録（主にDS）のフォーマット，情報公開状況を調査・報告	  • 想定している読者：	  – レジストリ，レジストラ，リセラ	  • 資料の内容：	  – 各プレイヤ間でのI/F調査報告	  • 多くはWebUIや独⾃自API，EPPなどを利⽤用	  – レジストリによる情報公開状況の調査報告	  • ⼤大⼿手レジストリは，Web上やレジストラ向けサイトで鍵登録⽤用のAPI等のデータシートや仕様を公開している	  – リセラのDNSSEC鍵登録I/Fへの要望調査報告	  • 例：ユーザ向けの鍵管理上の機能，移転時のDNSSEC	  無効の要望，等	  2011/4/20

DNSSEC.jp	  Spring	  Forum	  201113

公開資料	  「DNSSECツール調査報告」• 調査の⽬目的	  – DNSSECの導⼊入にあたっては，鍵や署名の管理・更新と⾔言ったこれまでにない運⽤用が必要	  – ⼈人⼒力力による運⽤用には限界があり，ツールのサポートが必要となる	  – DNSSECの導⼊入・運⽤用に有⽤用なプロダクトの情報を，オープンソースやベンダ製品を問わず調査・公開	  • 想定している読者：	  – 全てのDNSSEC運⽤用者（ユーザ含む）	  2011/4/20

DNSSEC.jp	  Spring	  Forum	  201114

「DNSSECツール調査報告」	  分類項⽬目

1.

DNSSEC	  に対応するDNS	  サーバ	  2.

DNS	  サーバの前段に設置しDNSSEC	  対応を⾏行行うDNSSEC	  プロキシ	  3.

鍵や署名の管理といったDNSSEC	  運⽤用を⽀支援するツール	  èDNSSECの鍵の⽣生成・管理や運⽤用の⾃自動化を⾏行行う運⽤用サポート
ツール類	  4.

DNSSEC	  の動作検証や監視をおこなうツールやサービス	  èDNSSECの動作検証や実際にDNSSECを利⽤用するためのツール類	  5.

DNSSEC	  対応を⾏行行う開発者向けのライブラリやツールキット	  èDNSSEC導⼊入のために開発者が開発を⾏行行うために必要なツール/ライブラリ	  2011/4/20
15	

DNSSEC.jp	  Spring	  Forum	  2011

「DNSSECツール調査報告」	  紹介しているツール（抜粋）
DNSSEC対応DNSサーバ	  ISC	  BIND	  NLnetLabs	  NSD	  NLnetLabs	  Unbound	  Infoblox	  Nominum	  ANS	  &	  ANSP	  Secure64	  DNS	  Server	  	  DNSSHIM	  運⽤用サポートツール	  OpenDNSSEC	  +	  So_HSM	  DNSSEC	  Zone	  Key	  Tool	  Thales	  nShield	  HSMDNSSEC	  DNSSEC	  対応を⾏行行うDNSSEC	  プロキシ	  F5	  DNS	  SECURITY	  SOLUTIONS	  Phreebird	  Suite	  開発ツール/ライブラリ	  libbind	  ldns	  Net::DNS::SEC	  Net::DNS::ZoneFile::Fast	  DNSRuby	  DNSJava	  DNSPython

動作検証・活⽤用ツール	  Key	  Management	  Tool	  Vanteges	  DNSSEC	  Debugger	  AutoTrust

DNS	  Check	  DNSViz	  DNSSEC	  Reply	  Size	  Test	  16	  2011/4/20

DNSSEC.jp	  Spring	  Forum	  2011

•全般	  

技術検証WG 活動報告	  公開した資料から– DNSSECの仕組みと現状	  – DNSSEC導⼊入に当たって	  •

この後，引き続き報告いたします	  

運⽤用者向け	  – DNSSECツール調査報告	  – キャッシュDNSサーバDNSSEC導⼊入ガイドライン	  – DNSサーバDNSSEC導⼊入Load	  Balancer機能チェックリスト	  •レジストラ，リセラ向け	  •セキュリティ・鍵管理	  – レジストリの鍵登録インターフェースに関する調査報告	  – レジストラ移転ガイドライン	  – gTLDレジストラ移転実験及び検証報告（予定）	  – DNSSECを利⽤用するリゾルバーのためのトラストアンカーの設定⽅方法について	  – DNSSECにおける鍵管理	  – DNSサーバDNSSEC導⼊入鍵管理チェックリスト	  2011/4/20

DNSSEC.jp	  Spring	  Forum	  201117

Ques.ons	  ?

2011/4/20

DNSSEC.jp	  Spring	  Forum	  201118