JAPAN REGISTRY SERVICES

DNSのセキュリティ向上

DNSSEC

Copyright © 2010 株式会社日本レジストリサービス

1

JAPAN REGISTRY SERVICES

本日の内容• DNSSECとは？
• 導入の背景• DNSSECの仕組み• DNSSECへの対応• DNSSECの導入状況• まとめCopyright © 2010 株式会社日本レジストリサービス

2

JAPAN REGISTRY SERVICESDNSSECとは？

Copyright © 2010 株式会社日本レジストリサービス

3

JAPAN REGISTRY SERVICESDNSSEC ～DNSのセキュリティ拡張～

DomainDName
NSystemS

Copyright © 2010 株式会社日本レジストリサービス

Security
SEC
Extensions

4

JAPAN REGISTRY SERVICESDNSSECで何が変わる！？
キャッシュ
DNSサーバ（プロバイダ）

問い合わせ元example.jpを見たい！

①②④③

192.0.2.1です⑤

権威DNSサーバ（ns.example.jp）

192.0.2.1です

これは本当にns.example.jpが回答したものか？
• 途中で回答が壊れてないか？
• 偽者が回答したものではないか？

DNSSECでこれらを検知できる
Copyright © 2010 株式会社日本レジストリサービス

5

JAPAN REGISTRY SERVICES

導入の背景

Copyright © 2010 株式会社日本レジストリサービス

6

JAPAN REGISTRY SERVICESDNSの脅威 ～キャッシュポイズニング～
問い合わせ元①

権威DNSサーバ（ns.example.jp）

キャッシュ
DNSサーバ（プロバイダ）③
192.0.2.254②
192.0.2.254

偽の情報をキャッシュさせる

URLが本物のサイトと同じであるため、見ただけでは判別できない。

Copyright © 2010 株式会社日本レジストリサービス

7

JAPAN REGISTRY SERVICES

キャッシュポイズニング対策① 攻撃が成功する確率を下げる► 問い合わせポートのランダム化► 権威DNSサーバの数を増やす► 適切なアクセス設定を行う….など⇒上記は現在すでに実施されている対策だが、根本解決ではない② DNS応答が本物か受信側で確認可能にする⇒DNSSECの導入が有効！

Copyright © 2010 株式会社日本レジストリサービス

8

JAPAN REGISTRY SERVICESDNSSECの仕組み

Copyright © 2010 株式会社日本レジストリサービス

9

JAPAN REGISTRY SERVICESDNSSECでは何が保証されるのか？
1. 出自の保証
 正当な発信者からの応答であること

2. 完全性の保証

 DNS応答が改ざんされていないこと

3. 通信内容の暗号化
 通信内容を暗号化し、問い合わせ内容を秘密にすること

Copyright © 2010 株式会社日本レジストリサービス

10

JAPAN REGISTRY SERVICES

キーワード① 公開鍵暗号方式
 ペアになっている2つの鍵（秘密鍵と公開鍵）を用いる►秘密鍵・・・他人に見せない自分だけの鍵►公開鍵・・・他人に見せてもいい鍵 一方の鍵で暗号化したデータは他方の鍵でのみ復号可能

データＡさん復号

暗号 データ送信 暗号 暗号化
データ
データ
データ

秘公

Copyright © 2010 株式会社日本レジストリサービス

あらかじめ入手

公 Ｂさん

11

JAPAN REGISTRY SERVICES

キーワード② 電子署名
 送信者は送信データからハッシュ値を計算し、秘密鍵で暗号化して送信データと一緒に送信 受信者は受信データからハッシュ値を計算し、署名を復号して得られたハッシュ値と比較検証
送信
データ

送信者

受信者

計算
送信データのハッシュ値

暗号化（署名）

計算
送信データ

データ送信

電子署名

電子署名

秘受信データ
電子署名

改ざん！
破壊！

復号

受信データから受信者が計算したハッシュ値
受信した署名から復号したハッシュ値

比較
検証

公違う！

Copyright © 2010 株式会社日本レジストリサービス

12

JAPAN REGISTRY SERVICES

電子署名のDNSへの応用
 キャッシュDNSサーバはDNS管理者の公開鍵で署名を復号し、受信レコードから計算したハッシュ値と照合して検証を行う
権威DNSサーバ
計算

キャッシュDNSサーバ

DNSレコード

計算

ハッシュ値

送信レコード
電子署名

暗号化(署名)電子署名

秘DNS管理者の秘密鍵(DNS管理者のみ保持)

Copyright © 2010 株式会社日本レジストリサービス

DNS検索

受信レコード
電子署名

復号

公

受信レコードから検索者が作成したハッシュ値
受信した署名から復号した
ハッシュ値

照合
(検証)

DNS管理者の公開鍵(DNS検索中に入手)

13

JAPAN REGISTRY SERVICES

信頼の連鎖
 秘密鍵で、自ゾーンと下位ゾーンの公開鍵に署名
 最上位（ルート）の公開鍵をキャッシュDNSサーバに登録することでルートゾーンから組織ゾーンまでの信頼の連鎖を確立
あらかじめ ルート の公開鍵を登録

キャッシュDNSサーバ

公

ルートゾーン
TLD
公開鍵

公TLDゾーン

DNS問合せ

組織公開鍵

DNS応答
署名

ルート公開鍵ユーザ

Copyright © 2010 株式会社日本レジストリサービス

公組織ゾーンルート秘密鍵

秘TLD公開鍵は確かにTLDそのTLDのものです
秘密鍵

秘組織公開鍵は確かに組織その組織のものです秘秘密鍵

14

JAPAN REGISTRY SERVICESDNSSECへの対応

Copyright © 2010 株式会社日本レジストリサービス

15

JAPAN REGISTRY SERVICESDNSSECで対応が必要な関係者
エンドユーザー

C 実装
E
SS
N
D
サーバの鍵の登録
開公トー
ル
ISP(キャッシュDNS)

SSEC実装
N
Dのバ
サー
へ署名
ン
ーゾ
象
管理対
管理
鍵の作成・

DNSプロバイダ(権威DNS)

ホスティング事業者（Webサーバ）
Copyright © 2010 株式会社日本レジストリサービス

管理
鍵の作成・
頼
鍵の登録依

ドメイン名登録者

NSSEC実
Dのバー
サンへ署名
ルートゾー

装

ルートDNSSSEC実装
N
Dのバサー
へ署名
ン
ーゾ
D
L
T

レジストリ（TLD権威DNS)

管理鍵の作成・
り次ぎ
鍵の登録取

レジストラ
16

JAPAN REGISTRY SERVICESDNSSECの導入状況Copyright © 2010 株式会社日本レジストリサービス

17

JAPAN REGISTRY SERVICES各TLDの導入状況
ccTLD►導入済みの主なccTLD►導入済みの主なccTLD （※試験的な導入も含む）（※試験的な導入も含む）.se（スウェーデン）.se（スウェーデン） .bg（ブルガリア）.bg（ブルガリア） .br（ブラジル）.br（ブラジル） .us（アメリカ合衆国）.us（アメリカ合衆国） などなど
►今後導入を予定している主なccTLD►今後導入を予定している主なccTLD.ca（カナダ）.ca（カナダ） .ch（スイス）.ch（スイス） .cn（中国）.cn（中国） .de（ドイツ）.de（ドイツ） .jp（日本）.jp（日本） .kr(韓国）.kr(韓国） などなど

gTLD
►導入済みの主なgTLD►導入済みの主なgTLD（※試験的な導入も含む）（※試験的な導入も含む）.museum.museum .gov.gov .org.org►今後導入を予定している主なgTLD►今後導入を予定している主なgTLD.biz.biz .cat.cat .com.com .edu.edu .info.info .net
.net
Copyright © 2010 株式会社日本レジストリサービス

18

JAPAN REGISTRY SERVICES.JPにおける取り組み 段階を踏んだ技術検証を実施中►JP DNSセカンダリ、ISP、製品ベンダー、指定事業者と協力し、実験環境を構築
JPRS

インターネット
仮想ルートサーバ
JP DNS
セカンダリ

ISP

製品ベンダー

指定事業者

仮想.JPサーバ

仮想キャッシュ
DNSサーバネットワーク
製品等

登録システム等

仮想.JPサーバ

仮想レジストリCopyright © 2010 株式会社日本レジストリサービス

19

JAPAN REGISTRY SERVICES

ルートサーバのDNSSEC導入状況
 2009年12月 DNSSEC導入のための実作業を開始►インパクトが大きいため、段階的に導入►検証できない署名データを追加したルートゾーン(DURZ※)を用意

 2010年5月 全ルートサーバでDURZの導入が完了
 2010年7月 正式運用開始►ルートゾーンの公開鍵データを公開►正規の署名データによるDNSSECの運用開始※Deliberately Unvalidatable Root Zone
Copyright © 2010 株式会社日本レジストリサービス

20

JAPAN REGISTRY SERVICES

まとめ• DNSSECは、DNS応答の出自と完全性を保証する• DNSSECの導入により、偽のDNS応答を受信側で検知する• DNSSECでは、電子署名を応用することでデータを検証する• DNSSECの普及には、各関係者の協力が必要不可欠• ルートゾーンのDNSSECは、2010年7月から正式運用開始

Copyright © 2010 株式会社日本レジストリサービス

21

JAPAN REGISTRY SERVICES

Copyright © 2010 株式会社日本レジストリサービス

22