DNSSECジャパン
DNSSEC 技術検証WG 活動報告
技術検証WG Chair
豊野 剛
toyono@mfeed.ad.jp

2010/7/21

DNSSEC.jp Summer Forum 20100• ⽬的DNSSECジャパン
⽬的と活動内容– DNSSECの導⼊・運⽤の課題の整理・検討– 参加者の技術⼒の向上，ノウハウの共有– 対外啓蒙活動• 活動内容– DNSSECの導⼊・運⽤に関する• 課題の整理・共有• 技術検証の実施、ノウハウの蓄積• BCPの策定– 成果の対外的発信によるDNSSECの普及・啓発

2010/7/21

DNSSEC.jp Summer Forum 20101

技術検証WGの活動⽬的
1. WGメンバが持つサービスやプロダクトにどのような影響が⽣じるかを調査，および実験環境の中で確認する
2. WGメンバが持つサービスやプロダクトのDNSSEC対応状況を確認し，運⽤ノウハウを共有・蓄積する
3. 蓄積したノウハウは必要であれば積極的にBCPやガイドラインとして公開する
2010/7/21

DNSSEC.jp Summer Forum 2010

2

DNSSECジャパン
技術検証WGの位置づけ
DNSSECジャパン
事務局

技術検証WG

広報WG

運用ワークショップ

運用技術SWG
Short term
2010/7/21

DNSSEC.jp Summer Forum 2010

プロトコル
理解SWG
Short term
3

DNSSECジャパン
技術検証WGの主な活動内容
技術検証WG

調査

検証①国際動向・関連情報調査④シナリオシミュレーション②レジストリ・レジストラ I/F調査⑤ネットワーク接続機器検証③ツールの比較調査⑥導入における懸念点整理• レジストラ移転• NGN

2010/7/21

DNSSEC.jp Summer Forum 20104

技術検証WGの活動• メンバは親会の中から参加• 主な活動はメーリングリスト• 隔週程度の定例打ち合わせ– 必要に応じて各調査・検証項⽬ごとに個別打ち合
わせ• 成果はメンバにフィードバック• 対外的なアクションに関しては親会および広報WGと連動
2010/7/21

DNSSEC.jp Summer Forum 20105

DNSSECに関わるプレイヤー

root, TLDs, ccTLDs…
DNS Registries The Internet

Domain Registrars
Domain resellers
XSPs
DNS Caching servers

NonInternet

Security ApplianceHome Routers/Adapters
Users

2010/7/21

DNSSEC.jp Summer Forum 20106

実際の運⽤現場
上層部
DNSSECってあるらしいけど，ウチはいつやるの？

別の上層部
リスクがある？ちゃんと検証しろ！

営業方面
安全なドメイン名とか言うお客様が…

設備・予算
DNSってタダでしょ？お金かかるの？

時期・稼働
いつだれがいくらで？え，継続？

サポートセンタ
インターネットに繋がりませんというお客様が…

DNSの運⽤に関わる⼈々
2010/7/21

DNSSEC.jp Summer Forum 20107

技術検証WGの⽬的（再）別の上層部• DNSSECってあるらしいけど，ウチはサービスやプロダクトの調査・実験環境で確認
リスクがある？ちゃんと検証しいつやるの？
ろ！
上層部→ 現場が困りそうなことは予め検討しておく．
営業方面
安全なドメイン名とか言うお客様が…

設備・予算
DNSってタダでしょ？お金かかるの？

• 運⽤ノウハウを共有→ 現場でハマることがあったら皆で助け合う．

サポートセンタ• BCPやガイドラインとして公開
時期・稼働
インターネットに繋がりませんといういつだれがいくらで？え，継続？
お客様が…
→ ⾃分たちだけじゃどうしようもない．皆にも気づいて助けてもらう．

DNSの運⽤に関わる⼈々

2010/7/21

DNSSEC.jp Summer Forum 20108

各調査・検証項⽬について
現在の活動状況2010/7/21

DNSSEC.jp Summer Forum 20109

①国際動向・関連情報調査• 調査の概要– 主に国外の最新のDNSSEC動向を調査し，⽇本語で短信として報告• 特に失敗談などは貴重なノウハウ• 活動状況

– 隔週開催の定例会内で報告中– 今後，要望があればレポート内容は広報WGと連携して公開も検討します

2010/7/21

DNSSEC.jp Summer Forum 201010

②レジストリ・レジストラ I/F調査• 調査の概要– 国内でDNSSECを利⽤できるようにするには、レジストリ、レジストラ、リセラー等におけるDNSSECのための鍵登録に対応する必要がある• 活動状況

– 国内の対応状況を調査– レジストラにおける今後の対応のための情報源を収集，整理

2010/7/21

DNSSEC.jp Summer Forum 201011

ドメイン名登録I/Fにおける鍵登録への対応状況
DNSSESCの鍵登録に対応している範囲
レジストリ

レジストラ

リセラ

申請者

(a) レジストリ～レジストラ I/F（データベース登録）(b)レジストラ～リセラ I/F（登録申請）(c)リセラ～申請者 I/F（登録申請）

最初にDNSSECへの対応が必要。
.org, .info, .com, .net等対応済み。
（資料については後述）

レジストラによってI/Fが異なる。
プログラムインターフェースであった
りWebインタフェースであったりする。国内で鍵登録に対応しているレジストリはない。
リセラによってI/Fが異なる。
基本的にWeb I/Fである。国内では対応しているリセラはない。

日本国内で鍵登録I/Fに対応しているレジストラがない。（2010年7月現在）
そこで、レジストラ向けの情報を収集すると共に、リセラーに鍵登録I/Fに関する要望をヒアリングした。
2010/7/21

DNSSEC.jp Summer Forum 201012

レジストリによるレジストラ向けの情報••

PIR（.ORG）
http://www.pir.org/dnssec– DNSSECの解説記事の他にブロードバンドルーターへの影響や，ISPにおけるDNSSEC対応のためのチェックリストなどを公開– レジストラ向けの鍵登録I/FについてはWebExやデータシートを提供。

••

VeriSign（.COM, .NETなど）
http://www.verisign.com/domain‐name‐services/index.html••

Affilias（.INFO, .MOBI, .ASIA, .AERO, ccTLDs）
http://www.afilias.info/dnssec– レジストラに関する情報を公開している。
– 鍵登録I/Fに関する情報はレジストラのメンバーページにて提供。

– 鍵登録I/Fについてのマニュアルはレジストラメンバサイト内で提供。
– 「DNSSEC overview」（DNSSECの概要）や「Securing a Domain SSL vsDNSSEC」（ドメインのセキュリティに対するSSLとDNSSECの違い）といった記事も。

2010/7/21

DNSSEC.jp Summer Forum 201013

リセラへの鍵登録I/Fに関するヒアリン
グ• 複数のリセラーに共通した要望事項– 顧客向けWebではDSの登録を受け付けられることが望ましい• DNSサーバは顧客が管理していることがあるため– リダイレクトできるようことが望ましい• ドメイン名の設置当初はリダイレクトサービス（転送サービス）が必要．

– 鍵の有効期限切れを知らせてくれることが望ましい– ドメイン名の移転と同時にDNSSECもできるようにすることが望ましい

2010/7/21

DNSSEC.jp Summer Forum 201014

③ツールの⽐較調査• 調査の概要– DNSSECの導⼊にあたっては、鍵や署名の管理・更新と⾔ったこれまでにない運⽤が必要– ⼈⼒による運⽤には限界があり、ツールのサポートが必要となる– DNSSECの導⼊・運⽤に有⽤なプロダクトの情報を，オープンソースやベンダー製品を問わず調査・公開• 活動状況

– ツールの分類整理中．実証検証しているものも有り．
– 結果は整理後，公開予定．

2010/7/21

DNSSEC.jp Summer Forum 2010

15

分類項⽬
• DNSSEC対応DNSサーバ
ÎDNSSECに対応したDNSサーバ製品を分類• 開発ツール/ライブラリÎDNSSEC導⼊のために開発者が開発を⾏うために必要なツール/ライブラリを分類• 運⽤サポートツールÎDNSSECの鍵の⽣成・管理や運⽤の⾃動化を⾏う運⽤サポー
トツールを分類• 動作検証・活⽤ツールÎDNSSECの動作検証や実際にDNSSECを活⽤するためのツールセットを分類

2010/7/21
16

DNSSEC.jp Summer Forum 2010

調査対象分類•DNSSEC対応DNSサーバ––––––––ISC BIND
NLnetLabs NSD
NLnetLabs UnboundInfoblox
Nominum ANS & ANSP
Secure64 DNS Server
F5 DNS SECURITY SOLUTIONSDNSSHIM

運用サポートツール•

開発ツール/ライブラリ––––––––libbindldns
libepp‐nicbr
Net::DNS::SEC
Net::DNS::ZoneFile::Fast
DNSRuby
DNSJava
DNSPython

動作検証・活用ツール•OpenDNSSEC + SoftHSM

z DNS Check•DNSSEC Zone Key Toolz DLV Test

•DNSSEC Smartcard Utilityz Sec Spider•DNSSEC Key Management Toolz DNSSEC Reply Size Test•

Vantegesz DNSSEC Tools•AutoTrustz DNSSEC Toolkitz Drill Extension for Firefox

2010/7/21
17

pydig
DNSSEC.jp Summer Forumz2010

例) OpenDNSSEC + SoftHSM• DNSSEC運⽤の全課程を⾃動化することを⽬的として作られた運⽤⽀援ツール• 鍵の管理、ゾーンの再署名、鍵のロールオーバーをスケジューリングして⾃動実⾏• PKCS#11に準拠したHSMの利⽤を前提とし、代替となる
SoftHSMも併せて提供
HSM

ポリシに基づくスケジューリング

鍵の生成と管理

Enforcer

ゾーン情報(未署名)(ファイル or ゾーン転送)

ゾーン情報(署名済)DNS

OpenDNSSEC

Auditor

Signer

更新通知

ゾーン管理者

ゾーン情報の完全性確認

2010/7/21
18

ゾーンへの署名とDNSへの通知

DNSSEC.jp Summer Forum 2010

④シナリオシミュレーション• 検証の概要– DNSSEC導⼊検討事例を具体的な実⼿順により検討し，新たな課題や検討漏れがないかを参加メン
バで再確認・共有– 導⼊事例としては以下の2つを想定• ネームサーバ運⽤者（レジストラ・リセラ）• キャッシュサーバ運⽤者（ISP）• 活動状況

– ネームサーバ運⽤の移⾏モデルについては検討済• 参加メンバの1社を実例に，専⾨部会を開いて皆で議論

2010/7/21

DNSSEC.jp Summer Forum 201019

移⾏モデル（ドメインリセラの⼀例）
登録先親ゾーン（gTLDs，ccTLDs）

ユーザクエリ

ドメイン登録ユーザ登録UI（Webなど）Internet

登録作業

負荷分散装置群NATglobal

認証DB
RR 管理DBDNSネームサーバ群

2010/7/21

DNSSEC.jp Summer Forum 201020

移⾏モデル（ドメインリセラの⼀例）
登録先親ゾーン（gTLDs，ccTLDs）

ユーザクエリ

ドメイン登録新規（鍵の生成）出入・変更（移転）

ユーザ登録UI（Webなど）削除（鍵の削除）Internet
負荷分散装置の性能
DNSSEC鍵登録I/F
登録作業

負荷分散装置群NATglobal

ネームサーバの性能
DNSネームサーバ群

2010/7/21

再登録・再移転（鍵...）認証DB
RR 管理DB

鍵管理DB
鍵生成・zone署名

DNSSEC.jp Summer Forum 201021

移⾏モデル（ドメインリセラの⼀例）
登録先親ゾーン（gTLDs，ccTLDs）

Rate Limit

ユーザクエリ

ドメイン登録UI制限
ユーザ登録UI（Webなど）FireWall装置群
Internet

鍵管理DB

登録作業

負荷分散装置群

登録システムglobal

NAT

鍵生成
サーバ

DNSネームサーバ群

Zone copy
reload2010/7/21

認証DB
RR 管理DBDNSSEC.jp Summer Forum 2010

鍵署名・⽣成・更新管理
サーバへZone投⼊・reload指⽰
22モデル検討により判明したことなど• 思ったより機能変更が多い– 鍵⽣成・鍵管理・zone署名・実機へのzone情報反映– 持っているTLDの数だけ鍵登録システムの変更が必要• UIを考えないと危険– DNSSEC署名・署名解除とか– 削除・再登録とか• 設定も改めて⾒直しが必要か– 負荷分散装置の設定– Amp攻撃・DDoS攻撃等に対してのRate Limit– TCP port53 Filtering

2010/7/21

DNSSEC.jp Summer Forum 201023

⑤ネットワーク接続機器検証• 検証の概要– DNSSEC導⼊に当たって，オペレータは各種NW装置を含めた総合的な疎通性を評価する必要がある– チェックポイントは何か，の項⽬作りも重要• 活動状況
– NW装置の有無によるDNSSEC疎通確認，性能評価– 端末装置の有無によるDNSSEC疎通確認，性能評価（検討中）2010/7/21

DNSSEC.jp Summer Forum 201024

NW装置のチェックポイント（例） 想定装置

負荷分散装置 目的(1)NW装置の構成が有り/無しで、DNSSECの通信に影響を測定する(2)NW装置の構成が有り/無しで、キャッシュサーバ側の性能影響を測定する 負荷分散装置のチェックポイント①大きなUDPパケットを通せるか②UDP Fragment③TCPフォールバック④NATではなくGlobalのReachability⑤UDPのセッション数DNSSEC.jp Summer Forum 201025

一次試験環境
権威サーバ

インターネットRouter

SW

L2SW，負荷分散装置，Routerを経由した実証的な環境で負荷試験を想定

負荷分散装置SW

キャッシュサーバDNSSEC.jp Summer Forum 201026

その他のDNSSEC 中継装置とチェックポイントなど• 想定される装置とチェックポイントはまだ洗い出しが必要– 想定される中継装置など• ブロードバンドルータ・VoIPアダプタ・ターミナルボックス• 無線機器• FireWall装置（宅内，エンタープライズ，NW）• 負荷分散装置– 想定されるチェックポイントなど• EDNS0対応およびUDPパケットサイズの取り扱い• UDP Fragment• TCP Fallback，TCP port 53 Filtering• UDP Stateの扱い（特に負荷分散装置，NAT装置など）• DNSキャッシュ機能，DNS Proxy機能
2010/7/21

DNSSEC.jp Summer Forum 201027

⑥ 導⼊における懸念点整理• 検証の概要– DNSSEC導⼊に伴い問題が発⽣しそうな事象に関しては，BCPやガイドラインを公開し啓蒙活動に努める– 導⼊における懸念点に関するBCPの作成• 活動状況

– (6‐1) レジストラ移転⼿順検証• RFC4841bisは本当に動くのか？

– (6‐2) NGN対応検討• DNSSEC + NGN対応でXSPのするべきことは？
2010/7/21

DNSSEC.jp Summer Forum 201028

⑥ 導⼊における懸念点整理(6‐1) レジストラ移転⼿順検証• 運⽤する上で考えておかなければならないこと– 対応⽅針をあらかじめ決めておく必要がある（お客様希望の有無も）• 移転⼊の場合，移転元レジストラへ鍵交換の要求を⾏うか• 移転出の場合，鍵の交換に応じるかどうか– レジストラ同志の連絡先DB？

• 新旧のレジストラ同⼠でDNSKEYとRRSIGの交換が必要– 相⼿レジストラが協⼒的か，⾮協⼒的か– NSと同様にDSも引き継ぐ？（上位NSに設定）– 鍵の授受？

• レジストリへの要求事項もあるかもしれない？

– ドメイン移転時にもNS設定と同様DSも引き継がれる仕様にする– その場合移転後のレジストラが設定されているDSを取得できる

2010/7/21

DNSSEC.jp Summer Forum 2010

29

DNSSEC移転の考えられる流れ確認(RFC4641bisベース)
通常の流れ(移転元が協力的な場合)
移転元レジストラ

移転先レジストラ

レジストリ

新しい権威DNSサーバと新しい鍵を設定する

対象ドメイン名の公開鍵(DNSKEY
レコード)、その公開鍵に対する署名情報(RRSIG)の提供を受ける

交換

DNSKEYレコードとRRSIGを権威
DNSサーバで公開

対象ドメイン名の公開鍵(DNSKEYレコード)、その公開鍵に対する署名情報(RRSIG)の提供を受ける

DNSKEYレコードとRSIGを権威
DNSサーバで公開

対象ドメインにDNSサーバをNSレコードに追加する(移転元レジストラの鍵で署名する)

報告
新しいDNSサーバとDS情報をレジストリに登録

Whoisサーバ

報告
対象ドメイン情報を削除

移転元のDNSKEYとRRSIGを削除

30

ドメイン 移転パターン
Transfer IN

1. ドメインを移転 NSも変更(移転先のNSを使う)
2. ドメインを移転 NSは自前で持っている
3. NSを元レジストラのままドメインを移転
4. 移転元レジストラが非協力的な場合(DNSKEYとRRSIGの交換に応じてくれない等)

31

ドメイン 移転パターン
Transfer OUT

1. ドメインを移転 NSも変更
2. ドメインを移転 NSは自前で持っている3. ドメインを移転するもNSだけ残していく
4. DNSKEYとRRSIGの交換に非協力的(レジストラ側)

32

相手が協力的だった場合通常のパターン１(例：JPドメイン) transfer IN
移転元レジストラ

livedoor
申請書を確認する

User

レジストリ

ドメイン移転申請書を出す

ドメイン情報を確認

レジストラツール

移転を申請
移転申請を確認・承認

移転申請を通知

移転承認通知管理ツールにドメイン登録(NSの登録はまだ)
DNSKEYを登録
移転完了の通知DNSKEYとRRSIGを交換申請
DNSKEYとRRSIGを交換申請
受理

DNSKEYとRRSIGを交換
権威DNSで公開

DNSKEYとRRSIGを交換
権威DNSで公開

移転先DNSホストをNSレコードに登録

DNS/DSをレジストリに登録

ドメイン情報を削除

移転元のDNSKEYとRRSIGを削除

Whois登録

DNS(DNSSEC)対応完了通知

33

相手が協力的だった場合・NSを自前でもつ場合 パターン２&3(例：JPドメイン)
移転元レジストラ

livedoor
申請書を確認する

User

レジストリ

ドメイン移転申請書を出す

ドメイン情報を確認

レジストラツール

移転を申請
移転申請を確認・承認

移転申請を通知

移転承認通知管理ツールにドメイン登録(NSの登録はまだ)
DNSKEYを登録
移転完了の通知DSレコードを渡す
DSレコードをもらう

DNSとDS登録
Whois登録
ユーザ通知

34

相手が非協力的だった場合パターン４(例：JPドメイン)
移転元レジストラ

livedoor
申請書を確認する

User

レジストリ

ドメイン移転申請書を出す

ドメイン情報を確認

レジストラツール

移転を申請
移転申請を確認・承認

移転申請を通知

移転承認通知管理ツールにドメイン登録
移転完了の通知DNSKEYとRRSIGを交換申請
DNSKEYとRRSIGを交換申請
拒否

DNS/DSをレジストリに登録

Whois登録

DNS(DNSSEC)登録完了通知

旧DNS情報のcacheが消えるまで不通期間が発生

35

Transfer IN後の考えられるパターン※パターン別のフローでわかるように、DNSSEC対応はドメイン自体が移転してから。
※ドメイン移転後考えられるパターン
ドメイン移転完了①LDNSを利用する

鍵登録をLDでやる②自前NSを利用する

鍵登録をユーザがやる③元レジストラ
NSを利用する④DNSSECをやめて普通のLDNSを使う⑤DNSSECをやめて普通の自前NSを使う

DSを変更する時までそのままNS変更

鍵登録

UIを提供
不正期間が発生する

署名交換できるできない

パターン１のフローへ不通期間発生
パターン２のワークフロー※Transfer Outの場合は立場が逆になるだけのため省略

36

考えられるCheck Point※それぞれの選択や手段はサービスレベルや運用ポリシーなどに基づくことになる

Transfer IN•••

ドメイン移転時のゾーン情報(有効期限など)の確認
鍵登録を誰がやるのか？
(レジストラ間ですることができるのか、ユーザがやるのか、できないのか、またはその手段)
パターンによって不通期間が発生することを予め説明する(不正期間が発生すること約款等に盛り込むなど)
Transfer OUT•••

移転して出て行った後どの程度ドメイン情報を保持するのか(移転後猶予期間を設けて削除する、または持たないなど)
移転後ドメイン情報を削除したあと、不通期間が生じる場合(猶予期間終了後は削除しますなど)、またはその可能性についての免責について約
款に入れる
鍵交換に応じるのか(応じる場合どういった手段をとるのか)37

⑥ 導⼊における懸念点整理(6‐2) NGN対応検討• NTT NGNのISP IPv4/IPv6 接続環境
– 2011/4に開始が予定されている• DNSSEC導⼊後に技術的な問題が発⽣しないかを検討．
• もし問題が発⽣するのであれば，その解決⽅法について検討し，DNSSEC.jp技術検
証WGメンバおよび関係者間で共有．
2010/7/21

DNSSEC.jp Summer Forum 201038まとめとご案内

2010/7/21

DNSSEC.jp Summer Forum 201039

まとめ• DNSSEC技術検証WGの紹介•〃
各活動のご案内• 困ったことは現在進⾏形で議論• 今後は広報WGと連携し，積極的な資料公開も検討していきます2010/7/21

DNSSEC.jp Summer Forum 201040

技術検証WG ご参加のご案内• 技術検証WGでは，⼀緒に悩む同志 メンバを募集しています– 導⼊にあたり検討したいことがある⽅– これからの実験検証で共にやりたいこと，やってほしいこと，がある⽅• ご興味のある⽅はDNSSECジャパン事務局までご連絡をお願いいたします– 下部組織である技術検証WGのみへの単独加⼊は出来ません

2010/7/21

DNSSEC.jp Summer Forum 201041

技術検証環境について• 技術検証WGはDNSSECに関連する技術検証の環境をJPRSと連携して準備します．
• 環境提供の⽬的– DNSSEC導⼊の際に想定される技術的な課題を検証し，実環境への導⼊をスムーズにすること• 環境提供期間– 2010年8⽉〜2011年3⽉• 環境条件– 環境へのアクセスは利⽤者に限定

2010/7/21

DNSSEC.jp Summer Forum 201042

利⽤条件など•利⽤条件① 技術検証WGの活動に参加すること•••

既存の検証項⽬（サブチーム）に参加するか，適切なサブチームがない場合は⾃らサブチームを作って参加．
活動成果は原則的に参加者，または可能な範囲内でDNSSECジャパンとして公開予定．

付帯条件① JPRSの実験環境を利⽤する場合•2010/7/21

JPRSが提供する実験環境を利⽤する場合は，JPRSが別途⽤意する実験参加申込書を提出して頂きます．

DNSSEC.jp Summer Forum 201043

今後のスケジュール（予定）201072011
89101112

1234

課題検討
WGメンバ追加募集
論理検証（BCP・ガイドライン作成）
検証準備
検証①

分析・報告

中間報告（ネットワーク機器・レジストラ移転）

検証②（tool⽐較/ネットワーク機器）

分析・報告
root sign
2010/7/21.jp sign
IW

DNSSEC.jp Summer Forum 2010

報告書.jp regist

JANOG

最終報告
DNSSEC.jp
assembly44

以上

2010/7/21

DNSSEC.jp Summer Forum 201045