JAPAN REGISTRY SERVICESＪＰＲＳ トピックス＆コラム

No. 015■ＤＮＳＳＥＣの円滑導入と安定運用の実現のために～考えなければならない「対応と現実」～
ＤＮＳＳＥＣの円滑導入と安定運用を実現するために考慮しなければならない点について、レジストラ・ＤＮＳ運用者における注意事項を中心に、具体的に解説します。
■レジストリ・レジストラモデルによる管理
現在の JP ドメイン名や、.com/.net を始めとする主な
gTLD では、レジストリ・レジストラモデルと呼ばれる手いずれの場合も権威 DNS サーバーに関する登録情報は、図１に示した形でおのおのの DNS 運用者からレジストラに渡され、レジストリに登録されます。

法でドメイン名を管理運用しています。そのため、それらの TLD を DNSSEC に対応させる場合、レジストリ・レジストラモデルに合致した形で DNSSEC に関する情報を取り扱えるようにする必要があります。

■レジストリ・レジストラモデルの登場人物
レジストリ・レジストラモデルにおける代表的な登場人物と、その役割を以下に示します。
① 登録者
そのドメイン名を登録している本人です。リセラーやレジストラにドメイン名の登録を依頼します。

図１：レジストリ・レジストラモデルにおける情報の流れ② リセラー▼すべての情報はレジストラ経由で登録

登録者からドメイン名の管理に必要な情報を受け取このようにレジストリ・レジストラモデルでは、すべてのりますが、自らはレジストリへの登録を行わず、レジスト情報の登録は、レジストラによる取り次ぎによって実施

ラへの依頼により登録を行います。

されることになります。

③ レジストラ1■レジストリにおける対応の次に必要なこと

登録者やリセラーからドメイン名の管理に必要な情

現在、レジストリにおける DNSSEC への対応作業が報を受け取り、レジストリに登録を依頼します。

積極的に進められています。レジストリによる DNSSEC④ レジストリ対応が完了することにより、その TLD における DNSSEC

レジストラからドメイン名の管理運用に必要な情報をの導入・運用のための基礎が整うことになります。

受け取り、自らのシステムに登録・管理します。登録ししかし、レジストリ・レジストラモデルにおいてた情報は TLD の権威 DNS サーバーで公開されます。

DNSSEC の導入を円滑に進めるためにはこれに加え、■レジストリ・レジストラにおける情報の流れ

登録したドメイン名の権威 DNS サーバーにおける現在のインターネットでは登録者のドメイン名の権威

DNSSEC 対応、及びレジストリに権威 DNS サーバーに

DNS サーバーは、登録者自身2、リセラー、レジストラの関する登録情報を取り次ぐレジストラやリセラーにおけ3いずれか により運用されることが一般的です。

る DNSSEC 対応が必須となります。
以 降 で は レ ジ ス ト ラ 及 び DNS 運 用 者 に お い て1

JP ドメイン名では指定事業者がレジストラの役割を担当しています。
2
登録者が依頼する第三者が運用する場合もあります。
3
登録者がプライマリ DNS サーバーを、リセラーやレジストラがセカンダリ
DNS サーバーをそれぞれ運用するなどの形態も見られます。

Copyright © 2015 株式会社日本レジストリサービス

DNSSEC 対応を実施する場合に必要となる対応事項・注意事項について、具体的に解説していきます。

※掲載内容は2015年1月現在のものです。

1

JAPAN REGISTRY SERVICES■レジストラにおける対応―情報の取り次ぎ▼ZSK の更新手順

前述の通りレジストリ・レジストラモデルでは、レジスト

ZSK の更新には通常、事前公開法を使用します（図リへの情報の登録はレジストラを介して実施されます。

2）。事前公開法では更新後に使用する新しい鍵（鍵

そのためレジストラやリセラーでは、DNSSEC 対応の際B）を運用開始時にゾーンデータに事前登録し、公開しにレジストリへの登録が必要となる DS レコード4の受けておくという方法が用いられます。

付けと、レジストリやレジストラへの取り次ぎに対応す１

２
Aる必要があります。レジストリに取り次がれた DS レコード

B

署名

は、レジストリの権威 DNS サーバーで公開されます。

3
AB

A

署名

BC

署名０１０１
１０１００１０１

０１０１
１０１００１０１

０１０１
１０１００１０１

ここでは、権威 DNS サーバーの運用時に鍵と署名の二つのZSKを生成し、鍵Aで署名署名鍵を鍵Bに変更

次に使う鍵Cを追加し、鍵Aを削除取り扱いにおいて特に注意が必要となる事項について、運用開始時■DNS 運用者における注意事項具体的に解説します。

▼DS レコードはレジストリにのみ登録

鍵更新時

図２：ZSK の更新手順例（事前公開法）▼ゾーンデータへの定期的な再署名が必要

DS レコードは NS レコードと異なり自らのゾーンデーDNSSEC ではセキュリティ上の理由により、署名に有タには登録されず、レジストリの権威 DNS サーバーの効期間が設定されています5 。そのため、ゾーンデータみに登録される情報であることに注意が必要です。

への定期的な再署名が必要になります。このため、▼DNSSEC では定期的な鍵の更新が必要

DNSSEC では登録情報に変化がない場合でもゾーンDNSSEC ではセキュリティ上の理由により定期的な鍵データへの定期的な再署名 6 が必要になることに注意の更新（ロールオーバー）が推奨されており、鍵（鍵署が必要です。

名鍵（KSK）及びゾーン署名鍵（ZSK）の双方）の定期的■DNS 運用者間でのドメイン名移転の取り扱い
DNSSEC ではドメイン名の移転など、DNS 運用者のな更新が必要になります。
鍵の更新方法には二重署名法（Double Signature）と変更の際に従来の NS レコードと同様の手法で DS レコ事前公開法（Pre-Publish）の２種類があります。

ードを更新した場合、DNSSEC 検証エラーが発生する▼KSK の更新における注意可能性があります7。

KSK の更新には通常、二重署名法を使用します（表検証エラーを避ける方法として、①移転元・移転先の1）。信頼の連鎖を維持するため単なる置き換えではな共同作業により信頼の連鎖を維持したまま移転する、く、新鍵追加→二重署名→登録→旧鍵削除→再署名②いったん DNSSEC を解除してから通常の方法で移転という手順を踏む必要があることに注意が必要です。

する8、③移転元・移転先間において必要なデータのや①新しいKSKの生成と自分のゾーンデータへの追加②新旧双方のKSKによりDNSKEY（ZSK）を署名③自分のDNSKEYのTTL設定値の時間分待つ④新しいKSKに対応するDSレコードを親に登録依頼⑤親のDSの登録更新を確認⑥親のDSのTTL設定値の時間分待つ⑦古いKSKをゾーンデータから削除⑧新しいKSKのみでDNSKEY（ZSK）を署名

表１：KSK の更新手順例（二重署名法）
4

レジストリが提供する DNSSEC サービス仕様により、DS レコードに対応する鍵署名鍵（KSK）そのものの登録が必要になる場合があります。

りとりをレジストリが仲介する9などの方法が検討・実施されています。

5

BIND 9 における有効期限のデフォルト設定値は 30 日となっています。
RRSIG レコードが更新されるため、再署名に先立って SOA のシリアル値を増やしておく必要があります。
7
技術的詳細が以下の発表資料で紹介されています。
https://www.dns-oarc.net/files/workshop-200905/gudmundsson.pdf
8
DNSSEC ジャパン「レジストラ移転ガイドライン」p.12
http://dnssec.jp/wp-content/uploads/2010/11/20101122-techwg-regi
strar-transfer-guideline.pdf
9Changing DNS Operators for DNSSEC signed Zones
http://tools.ietf.org/html/draft-koch-dnsop-dnssec-operator-change
6

Copyright © 2015 株式会社日本レジストリサービス ※すべてのコラムは http://jprs.jp/related-info/guide/ でご覧いただけます。 2