DNSSEC update
世界各国の対応状況について
2012/4/25版	
株式会社ブロードバンドタワー	
大本 貴	

最初に	
• DNSSEC 2011 スプリングフォーラム(2011/4/20)において、ご報告した情報をベースに、この一年間のccTLDおよびgTLDのDNSSEC対応状況について情報をまとめました。	

Agenda• 各gTLDの導入状況と動向アップデート	
• 各ccTLDの導入状況と動向アップデート	• この一年間での海外のDNSSEC関連Topics		
• まとめ		DNSSEC対応状況 2010/7/21• http://www.ohmo.to/dnssec/maps/

DNSSEC対応状況 2011/4/18• http://www.ohmo.to/dnssec/maps/

DNSSEC対応状況(2012/4/25)• http://www.ohmo.to/dnssec/maps/

gTLDの導入状況	
• 前々回2010/7/21日発表時に導入済みだったgTLD– .org .museum .biz .cat .gov

• 前回 2011/4/20日発表時に導入済みだったgTLD– .edu .info .asia .net .com .arpa• .aero• 2010/11/24 DNSSEC導入のため承認要請レター提出	
• 2010/11/30 ICANNから規約改定が必要との指摘	

→その後動向変化なし。	

• .mil• nic.milと.mil間のみDNSSECの親子信頼関係あり	→.milのDNSKEY署名公開済み。	

• .mobi	

• 計画策定開始 (2010/12月のLACTLD surveyより)→その後動向変化なし。	

• .name	– 2012/3/20 VerisignがDNSSEC導入のため承認要請レター提出	
– 現在ICANNでレビュー中。	

ccTLDの導入状況	
• 前々回2010/7/21日発表時に導入済みだった
ccTLD(18ccTLD).se(スウェーデン).pr(プエルトリコ).br(ブラジル).na(ナイロビ).tm(トルクメニスタン).pt(ポルトガル).ch(スイス).lk(スリランカ).nu(ニウエ).bg(ブルガリア)	
.cz (チェコ)	
.th(タイ).eu (欧州連合).us(アメリカ).li(リヒテンシュタイン).uk(イギリス).kg(キルギスタン).pm(サンピエール島・ミクロン島)

前回(2011/4/20)報告時導入済みのccTLD• 導入済みccTLD (+25 ccTLD).be (ベルギー).yt (マヨット島(仏領)).hn (ホンジュラス).gi (ジブラルタル).sc (セーシェル諸島).me (モンテネグロ).la (ラオス).am (アルメニア).co (コロンビア).re (レユニオン).nl (オランダ).my (マレーシア).fi (フィンランド).tf (フランス南方海域).bz (ベリーズ).lc (セントルシア).mn (モンゴル).in (インド).wf (ウォリスフツナ諸島(仏領)).ag (アンティグァ・バーブーダ).lu (ルクセンブルク).dk (デンマーク).fr (フランス).gr (ギリシャ).jp (日本)

前回報告したccTLDの動向(1/5)– .de (ドイツ)– 2010年第4四半期にテスト結果のレポートをまとめ、2011年第1四半期 のミーティングで議論する予定	
→2011/5/31に導入することが決定。	

→2011/6/8導入済み	
– .pl (ポーランド)– 2010/9月テスト開始。	

→2012/2/10 導入済み	

– .ru (ロシア)– 詳細は不明だが、導入を予定。	
→テストは開始した模様。
その後動向報告なし(http://www.dnssec.ru/en/)→.su(ソビエト連邦)が導入済みに。2012年に.ruと.РФの導入予定– .ee (エストニア)– 2010/6/21に導入することを表明。ただし実施時期は未定。(新DNS system 構築後とのことだったが、すでに構築は完了している)	

→2011年12月、監査総会でDNSSEC開発費用として今後3年間分の開発予算を計上

前回報告したccTLDの動向(2/5)– .si (スロベニア)– 2011年から導入に向けて取り組むことを表明(2010年末総括報告にて)→2011/12/24導入済み	

– .at (オーストリア)– 2011年後半導入予定。DENICの協力でトレーニングも実施予定。	

→2012/2/10導入済み– .ie (アイルランド)– 2010/6/15 DNSSEC導入を検討中と言及。	

→ 2011/8/30 導入することを表明	

– .es (スペイン)•2010/9月テスト実施。(LACTLD調査より)
iis.seのエンジニアと交流しDNSSECに関する情報交換している。DNSSEC FAQを公開2011/5

前回報告したccTLDの動向(3/5)– .tw (台湾)

– 2011年に下位ゾーンから適用を始めるとのことで、昨年からtwnicが積極的にworkshopを展開している。(3月は1ヶ月間に3度のworkshop開催)→導入済み(2011/11/4)	

– .kr (韓国)			

– 2010年6月に導入開始し、2011年1月に全空間で対応予定	
→2011/1/25にリリースしたDNSSEC導入ガイドで2011年度中にgo.krに適用する予定を記載。ただしgo.krは4月現在まだ存在していない。	

→2011/11/24導入。 2012年第二四半期から国内レジストラ、OpenValidatorのサービスが開始予定	

– .au (オーストラリア)– 2010年中にも運用開始か？	
→2010/8/12に対応表明。2011/4/18日のauDA Meetingでプレゼン予定だが、2011年一杯はテスト対応で終わりそう。早くても2012年になるとの見通しがZDnetの担当者へのインタビュー記事で。	

–→2011/11の評議会にて実装スケジュールが承認。(内容は不明)		
auDAのDNSSEC WGでの議論は継続している模様。

.nz (ニュージーランド)– 導入スケジュールは計画中とのことだが、2010年中の導入を想定して いるとのこと	→DNSSECに対応した規約に2011/5/2日に改定予定とアナウンス(3/31日)→ 2011/12/12に導入済み–.ca (カナダ)– 2011年後半の導入を予定。その後動向報告なし	

•→2012年2月、2012年中の導入と2013年内のサービス開始をアナウンスしDPS公開	

前回報告したccTLDの動向(4/5)• 南米地域 (LACTLDの調査結果2010/12月)	
– .cr (コスタリカ)– 2010/8月テスト実施	

• →2012/2/3/10 導入済み	

– .ec (エクアドル)– 2012年第1四半期導入予定	

– .gt (グアテマラ)– 2011/1月にテスト実施、	
– 2012/1月導入予定	

– .pa (パナマ)– 2011/8月導入予定	

– .pe (ペルー)– 2011/第4四半期導入予定	

– .tt (トリニダード・トバゴ )– 2010年にテスト実施	

– .uy (ウルグアイ)– 2012年第1四半期導入予定	

– .ve(ベネズエラ)– 計画策定開始	

－ .cl (チリ)

2010年中の導入完了を予定	
→ 2011年第2四半期にDS署名予定 (2010/12/8
LACTLDのsurvey結果)→ 2011/4/22に導入済み－ .vc (セントビンセントおよびグレナディーン諸島 )2010/10/6 DNSKEY公開、その後動向なし	

前回報告したccTLDの動向(5/5)(動向なし)– .mx (メキシコ)– 2006年5月から内部的なテストを実施している模様	→2011/第4四半期に導入予定 (LACTLD survey結果より)			

– .sg (シンガポール)– 2009年9月から2010年2月までテストベッドを実施、「2010年4月に運用開始予定」とアナウンスしていたが、現在のステータスは不明。	

– .cn (中国)
– 2010年末までに導入を予定。	
→1300万ドメインを管理しているため、実導入へ慎重になっている。		 					(2011/2/21 APNIC 31 meeting)	

– .ir (イラン)– 2009年からテストベッドを開始、2010年2月に終了	
– その後動向なし。dnssec.irもドメイン消失。	

– .sk (スロバキア)– DNSSEC、IPv6の実装のためシステムの改良、交換について議論中(2010/6/28の2010前半総括報告にて)

前回報告したccTLD (対応している・・・?)• Internet Computer Bureau 社(イギリス本社)に管理委託しているccTLD– .ac (アセンション諸島) nic.acのみ署名	– .io (イギリス領インド洋海域) nic.ioのみ署名	
– .sh (セントヘレナ島) nic.shのみ署名	
– ccTLD公式サイトでは「DNSSEC signed and Secure」と表示しているが・・・。 DLVも利用していない。	

→上記全て導入済み( 2011/4/29)• Cocca(The Council of Country Code Administrators)管理のccTLD 	– .af (アフガニスタン)– .cx (クリスマス諸島)– .gs (サウスジョージア島・サウスサンドイッチ島(英領))– .ki (キリバス)– .nf (ノーフォーク諸島(オーストラリア領) )– .sb (ソロモン諸島 )– .tl (東ティモール)• 2010/12/15 にDNSSEC署名予定との(2010/11/2日付けプレスリリース)があったが、現在もまだ・・・。	

前回報告以外のccTLDで動向があったccTLD–––––––.nc(ニューカレドニア)が導入完了 2011/7/12.gl(グリーンランド)が導入完了 2011/8/4.su(旧ソビエト連邦)が導入完了 2011/10/24.ug(ウガンダ)が導入完了 2011/11/12.mm(ミャンマー)が導入完了 2011/11/30	.sx(シント・マールテン島)が導入完了 2011/12/10	.ua(ウクライナ)が導入完了 2012/4/14.sn.gn.lr	

– .lr(リベリア)がDNSKEY署名公開(テスト?) 2011/6/10～6/24	.ga .ug .ke	

→2012/4/19 DNSKEY署名公開– .ga(ガボン)がDNSKEY署名公開 2012/2/28– .fo(フェロー諸島)がDNSKEY署名公開2012/4/13	
– .gn(ギニア)がDNSKEY署名公開 2012/4/19	
– .ke(ケニア)が2012年度中の導入を計画(kenic2011-2013年計画資料)	
– .sn(セネガル)が2012年6月末導入を計画 (ICANN42にて発表)		
•合計すると前回 (2011/4/20)から18TLDが新たにDNSSEC導入済み。

(73TLD/279TLD IDNも含めると86TLD/313TLD)	

この1年間での海外DNSSEC関連Topics	• NASA.govの鍵更新失敗とComcastへのバッシング(2012/1月)	
– nasa.govの名前解決ができない原因はNASA.govが鍵更新に失敗したためなのに、エンドユーザにvalidatorを提供しているComcast社によるブロッキングと勘違いしたユーザからの非難が集中した。	
→ 暫定処置としてComcastは一時的にNASA.govをValid対象から除外。		

• .CZでのDNSSEC導入ドメイン比率が3割超える (33万ドメイン/93万ドメイン)– 去年4月時点では9% 、11月に16%	
– レジストラへのキャッシュバック率アップなど施行、詳細は以下URLに。
http://dakar42.icann.org/meetings/dakar2011/presentation-dnsseccz-26oct11-en.pdf	

• .SEがDNSSEC導入ドメインに対するディスカウント施策でユーザが大幅に増加。	
– 年末までにDNSSEC導入するとドメイン維持費5%OFFキャンペーン	
→4000ドメインから1ヶ月で172000ドメインに。(全ドメイン約121万ドメイン)	

• 署名有効期間切れサイト事例はもはやあるあるネタ?
(DNSSEC大抵の失敗事例は署名の有効期間切れ)

まとめ	
• 各gTLD, ccTLDのDNSSEC対応は順調に進んできている。	
– ドメイン登録者がDNSSECを導入するかどうか選択できる準備が整いつつある。	
– paypalなどの法人もDNSSEC導入し、いよいよ第2レベルドメインあるいは第3レベルドメインでの対応が進み始めた。	

• トラブルも見受けられるが、まだ対応サイトが少ない(あるいはvalidatorが少ない)ためか反応はそこまで大きくない。	
– nasa.gov(Comcast)は大きな話題になったが・・・。	
– 例えばICB,plc管理のTLD(.sh .io .ac .tm)のNSのうち2/7台が障害でDNSKEYが引けずservfailとかあったけど騒がれてない。	

• 一方で、エンドユーザの認知度がまだ低い	
– Comcastのようにトラブル時にvalidatorを提供しているISPが矢面になってしまう。
– 導入とともにエンドユーザへの啓蒙やカスタマサポート担当の教育が必要なフェーズ	参考情報	•

IANA TLD DNSSEC Report•

Registry Services Evaluation Process (gTLD)•各TLDレジストリwebサイト	

•ICANN42 DNSSEC Workshop資料(2011/10/26開催)	

•ICANN43 DNSSEC Workshop資料 (2012/3/14開催)	

– http://stats.research.icann.org/dns/tld_report/	
– http://www.icann.org/en/registries/rsep/	– http://www.iana.org/domains/root/db/ からリンク	
– http://dakar42.icann.org/dakar42/documents?page=3	

– http://costarica43.icann.org/documents-archive?page=3	

•

Geekなぺーじ	

•

発表者のサイト	– http://www.geekpage.jp/blog/?id=2012/1/26/2	
nasa.govとComcastの件について分かりやすく解説されています。	
– www.ohmo.to•http://www.ohmo.to/dnssec/maps/	
今回の資料に関係する情報ソースを公開しています。

•	発表者のつぶやき– twilog.org/taxiJPN (twilogおよび製作者の@roprossさんありがとうございます)•http://twilog.org/tweets.cgi?id=TaxiJPN&word=dnssec
上記URLで今回の資料に関係する情報ソースのつぶやきがリスト化されてます。	

ご清聴ありがとうございました。