JAPAN REGISTRY SERVICES
No. 013ＪＰＲＳ トピックス＆コラム■ＤＮＳＳＥＣの概要と今後の展開～「本当に正しい」を証明するために～インターネットの利用に欠かせないＤＮＳ。ＤＮＳの信頼性を向上させ、より安全にインターネットを使えるようにする機能が「DNSSEC」です。その概要と今後の課題について解説します。
■インターネットの基本―ドメイン名の一意性■DNS キャッシュポイズニング攻撃と DNSSEC

インターネットの「住所」であるドメイン名。

DNS への攻撃により動作を妨害し、インターネットのuser@example.co.jp や http://example.jp/ などのように、安全な利用を妨げる行為は、インターネットが世界的に電子メールアドレスや Web アドレス（URL）で相手先を普及し始めた 1990 年代から知られていました。
特に、DNS 応答を偽装し、偽の情報をキャッシュ指定する際に使われています。
同じドメイン名はインターネット上のどこで使われても、DNS サーバーに記憶させる「DNS キャッシュポイズニン

常に同じものを示します。これをドメイン名の一意性とグ（DNS cache poisoning）」と呼ばれる攻撃方法につい呼び、インターネットを円滑に利用するための基本的かては、専門家の間で早くからその危険性の高さが指摘つ重要な原則の一つです。

されていました。

ドメイン名の一意性が実現されているおかげで、私たちは電子メールアドレスや URL を使って、情報交換やインターネットユーザー（http://example.jp/へアクセス）

１

情報の入手がスムーズにできるわけです。

■ドメイン名の一意性は DNS により実現
DNS（Domain Name System）1は、インターネットにお５毒入れされたキャッシュサーバーによりフィッシングサイトへ誘導

正規のサイト２

４

フィッシングサイト

けるドメイン名の一意性を実現するための技術です。
DNS は、ユーザーが電子メールアドレスや URL などの形で指定したドメイン名から、電子メールの送信やWeb サイトの閲覧に必要な IP アドレスやメールサーバー情報などを調べる役割を担っています（図 1）。
example. jp

問い合わせ応答192.0.2.1

mail.example.co.jp

DNS

送信元のIPアドレスを詐称した偽の情報を送り付け、正しい応答の代わりに偽の情報がキャッシュされるように仕向ける

ログインID： taro ログインID： taro
パスワード： *****
パスワード： *****

３
攻撃者

インターネットユーザーは、フィッシングサイトに誘導されたことに気付かずにユーザーIDやパスワードを入力し、情報を盗まれてしまう

図 2: DNS キャッシュポイズニング攻撃の概要が仕込まれたキャッシュ DNS サーバーでは、その DNS情報は「本物」として扱われてしまい、偽の DNS 情報であるということが受け取り側では判別できません。このた問い合わせ応答

３

DNS キャッシュポイズニングによって偽の DNS 情報

あるドメイン名に対応するIPアドレスを調べる

example.co.jp

example.jpの権威DNSサーバー

キャッシュDNSサーバー

DNS

め、偽の DNS 情報を信じて Web サイトにアクセスをしよあるドメイン名あてのメールをどのサーバーに送れば良いか調べる

うとしたユーザーがフィッシングサイトに誘導されたり、

図 1: DNS の使用例

電子メールが第三者に詐取されたりといった被害が発DNS が正常に機能し、ドメイン名を用いた正しい相手先の指定が可能になることは、私たちがインターネットを安全に利用するための必要条件の一つです。

生する可能性があります。
このため、DNS 応答の偽装を防止するための技術である「DNSSEC（DNS Security Extensions）」の標準化作業と開発が、インターネット技術の標準化推進団体であ1DNS の動作原理については JPRS トピックス&コラム No.10「DNS のしく

みと動作原理～インターネットを支え続ける DNS～」をご参照ください。

Copyright © 2014 株式会社日本レジストリサービス

る IETF において進められてきました。

※掲載内容は2011年4月現在のものです。

1JAPAN REGISTRY SERVICES■DNSSEC の概要
DNSSEC は、受け取った DNS 応答が「本当に正し

DNS応答の検証不可

これまでのDNS(DNSデータのみを応答)

DNS応答

DNS応答

DNSデータ
DNSデータ
DNSデータい」ものかどうかを検証することで、DNS のセキュリティを向上させるための拡張機能です。

▼信頼の連鎖により「本当に正しい」ことを検証受け取った DNS 応答が「本当に正しい」ことを検証す

DNSデータのみを格納

DNS応答の検証可能

DNSSEC(署名を付加して応答)

正しいDNS応答

DNS応答

署名済みDNSデータを格納

DNSデータ 署名
署名

DNSデータ 署名
DNSデータ 署名

るためには、受け取ったデータについて以下の２点のキャッシュDNSサーバー確認が必要になります。

図 4: これまでの DNS と DNSSEC の応答の違い

権威DNSサーバー■ルート・TLD における DNSSEC 導入が進行① 本当にその相手が登録したデータであること（データ出自の認証: Data origin authentication）

社会インフラとしてのインターネットの重要性が増す② 通信途中で書き換えられたり、一部が失われたり中、DNSSEC の導入により安全性の向上を図ろうとするしていないこと（データの完全性: Data integrity）機運が世界的に高まっています。このような背景から.jp

DNSSEC ではこの二つを、DNS の権限委任の構造にや .com/.net な ど を 含 む 主 要 な ccTLD/gTLD が合わせた形で図 3 に示す「信頼の連鎖（Chain ofDNSSEC への対応を相次いで表明し、2010 年 7 月にはtrust）」を構築することにより実現しています。

DNSSEC の本格運用実現のために不可欠となる、ルートゾーンでの DNSSEC の正式運用が開始されました。

鍵情報照合
トラスト
アンカー

ルート
ヒント

キャッシュ
DNS
サーバー

ルートゾーン参照

クライアントDNSにおける権限委任
DNSSECにおける信頼の連鎖

ルート
KSK

ルート
ゾーン
jp
NS

署名
jp
DS

署名

ルート
ZSK

鍵情報照合
jp
署名
KSK
jp
署名
jp
ゾーン
ZSK
example.jp example.jp
NS
DS
鍵情報照合
権限委任
example.jp
署名
KSK
権限委任

example.jp

ゾーン

署名example.jp
ZSK

図 3: DNS の権限委任と DNSSEC の信頼の連鎖▼DNS 応答に「署名」の情報を付加
DNSSEC では DNS 応答にデジタル署名（以下、単にJPRS では 2009 年 7 月に JP ドメイン名への DNSSECの導入を表明し、2011 年 1 月から JP ドメイン名サービスにおける DNSSEC の正式運用を開始しました。また、世界最大の TLD である.com においても、2011 年 3 月に DNSSEC の正式運用が開始されています。

■DNSSEC の導入・普及における検討課題
DNSSEC では、DNS 情報を管理する側と検索する側双方の対応が必要になります。そのため、DNSSEC の普及を進めるためには関係するすべての DNS サーバ
ーで、DNSSEC 対応を進めていく必要があります。

「署名」とします）を付加した応答を送ります。これまで

また、DNSSEC の導入により必要となるコンピュータの DNS では応答を受け取った際に「正しい応答に違いーの性能（CPU、メモリなど）や、DNS データの増加に2ない」と信じることしかできませんが 、DNSSEC では送ら対応するためのネットワークの増強などについても、具れてきた署名の情報により「正しい応答である」というこ体的な検討を進めていく必要があります。とを、受け取った側で検証できるようになります（図 4）。

更に、DNSSEC に関連する情報の登録管理や DNSへの設定を実現するため、ISP や ASP といったサービス提供者における業務システムや業務フローへの影響についても、十分な検討が必要になります。
このように DNSSEC の導入、普及を進めるためには、

2

これまでの DNS も DNS キャッシュポイズニングなどによる攻撃のリスクを減少させるためのさまざまな仕組みを備えていますが、リスクを完全に回避することはできません。

各関係者においてさまざまな検討を進め、それぞれの立場における課題解決を図っていく必要があります。

Copyright © 2014 株式会社日本レジストリサービス ※すべてのコラムは http://jprs.jp/related-info/guide/ でご覧いただけます。 2