JAPAN REGISTRY SERVICES
2009年9月7日
第29回JPドメイン名諮問委員会
資料5

DNSSECを利用するには2009年9月7日
株式会社日本レジストリサービス

Copyright © 2009 株式会社日本レジストリサービス

1

JAPAN REGISTRY SERVICES

DNSの役割• 「ドメイン名」と「IPアドレス」を対応づける• ユーザは、まず、DNSからIPアドレスを獲得し、そのIPアドレスを使ってWebサーバやメールサーバにアクセスする

DNS

www.example.jp
Webサーバインターネット
インターネット①www.example.jpのIPアドレスは?

IPアドレス
192.168.2.1②192.168.2.1
です

le.jp
pxa me.
www③ クセスにアユーザー
Copyright © 2009 株式会社日本レジストリサービス

2

JAPAN REGISTRY SERVICESDNSの応答が偽造されたら• もしDNSが間違った情報を返したら・・・ または、
• 本物のDNSサーバ以外から来た応答を信じてしまったら・・・→ ユーザーは大混乱• 間違ったWebサイトにアクセスしてしまう• 間違った相手に電子メールが送られてしまう
偽DNS
DNSor
間違った情報①www.example.jpのIPアドレスは?

www.example.jp
Webサーバインターネット
インターネット

IPアドレス
192.168.2.1②192.168.2.101
です

③

ユーザー
Copyright © 2009 株式会社日本レジストリサービス

www.example.jp
偽Webサーバ
IPアドレス
192.168.2.101
3

JAPAN REGISTRY SERVICESDNSの応答偽造の事例• AlterNICによるInterNICのWebサーバ乗っ取り（1997年）– DNSサーバのセキュリティの穴を利用し、偽のDNS情報を注入• ドメイン名登録者になりすますドメイン名ハイジャック– 登録情報の不正な書き換え– 偽のDNS情報の注入• 嘘の参照先情報を使わせるコンピュータウイルス– フィッシングサイトへの誘導– システム自動更新の妨害
Copyright © 2009 株式会社日本レジストリサービス

IPAからの注意喚起(http://www.ipa.go.jp/security/vuln/20050627_dns.html)

4

JAPAN REGISTRY SERVICESDNSの応答偽造に対するJPRSのこれまでの活動• レジストリデータベース更新の際のアクセス者認証の導入（2002年）• 不適切なDNS設定によるフィッシング等の危険性解消のための措置（2005年）• 著名人ブログに対するDNSキャッシュ汚染攻撃の分析と対策をISPと共同で実施（2006年）• 新たに発見された、DNS情報を改ざんする攻撃手法に対する解説と対策を整理し、DNSサーバ管理者へ注意喚起を実施（2008年）• インターネットコミュニティへの継続的な情報提供– JPRS TechWeb(Webサイト)、JANOG会合/ML、DNSOPS.JP会
合/MLなど• TAO・NICTの委託研究を通じたDNSSECの実用化研究(2001～2007年)
Copyright © 2009 株式会社日本レジストリサービス

5

JAPAN REGISTRY SERVICESDNSの仕組み• ドメイン名の右から順にたどる (①から③の順)

ルートDNSサーバe.jpのlpm.exaww
wスは?
レド
IPア

DNSサーバ①jpのDNSはここです

インターネット
インターネットwww.example.jpのIPアドレスは?

192.168.2.1
です②
example.jpのDNSはここです

JP DNSサーバ

www.e
レスは xample.jpの192.1
68.2. IPアド
1で す③

example.jpのDNSサーバ

ユーザー
Copyright © 2009 株式会社日本レジストリサービス

6

JAPAN REGISTRY SERVICES

DNS応答の正しさの検証• DNS応答が正しいことを検証できれば偽のWebサーバに誘導されることはなくなる
ルートDNSサーバ

e.jpの
lpm.exawww
スは?
レド
IPア

DNSサーバjpのDNSはここです

インターネット
インターネットwww.example.jpのIPアドレスは?

192.168.2.1
ですexample.jpのDNSはここです

JP DNSサーバ

www.e
レスは xample.jpの192.1
68.2. IPアド
1で す

正しさを検証したい部分

example.jpのDNSサーバ

ユーザー
Copyright © 2009 株式会社日本レジストリサービス

7

JAPAN REGISTRY SERVICESDNSSECとは• DNSのセキュリティ機能拡張 (DNS Security Extensions)• DNSサーバで、応答に公開鍵暗号による署名(*)を付加し、出自を保証• ユーザー側で、DNS応答を検証(偽造有無を自動的に検出)(*) 電子データに署名者のみが作れる情報を付加する技術。
紙文書での印・サインにあたる。
DNSサーバ(問合せ側)
DNS応答の検証不可

DNSSEC
非対応の場合DNSサーバ(情報蓄積側)
従来のDNS(DNSデータのみを応答)

DNSデータのみを格納

DNSデータ
DNS応答

DNSデータ

DNS応答

DNSデータ
DNS応答の検証可能

DNSSEC
対応の場合

正しい
DNS応答

DNSSEC(電子署名を付加して応答)
DNS応答

署名

署名済みDNSデータを格納

DNSデータ 署名
DNSデータ 署名
DNSデータ 署名

Copyright © 2009 株式会社日本レジストリサービス

8

JAPAN REGISTRY SERVICESDNSSECでできること• DNS応答の真偽の判別– 偽の応答や不完全な応答をユーザ側で判別可能• DNS応答の捏造によるフィッシングや、電子メールの盗聴防止などに有効
偽DNS
DNS

www.example.jpのIPアドレスは?

×192.168.2.101ですユーザー
Copyright © 2009 株式会社日本レジストリサービス

正しいサイト×フィッシングサイト

DNS応答を偽造しようとしても、DNSからユーザーに応答がなされる前にその応答が破棄されるため、フィッシングサ
イトへのアクセスを回避することが可能
9

JAPAN REGISTRY SERVICESDNSSECではできないこと• DNS応答の暗号化はしない– DNSSECは「登録者が登録したDNS情報を利用者に正しく伝える」ための技術• インターネット上の通信そのものの安全は保証しない– 別の技術（SSL等）により実現• ドメイン名の見間違いや思い違いを狙うタイプのフィッシングには対応できない
example.jp？
examp1e.jp？
Webサーバhttps://www.example.jp/
ユーザー
通信路の安全はSSLにより保証
Copyright © 2009 株式会社日本レジストリサービス

見間違いを狙うフィッシングには対応不可
10

JAPAN REGISTRY SERVICES
DNSサーバ(情報蓄積側)DNSSECに対応するには•

情報蓄積側と問合せ側の双方で対応が必要– 情報蓄積側は、DNSサーバに署名情報を登録・蓄積する仕組みが必要– 問合せ側は、情報蓄積側からの応答を検証する仕.jpの組みが必要
mple.exaw
ww
スは?
レド
IPア

DNSサーバ(問合せ側)

ルートDNSサーバ
jpのDNSはここです

インターネット
インターネットwww.example.jpのIPアドレスは?

192.168.2.1
ですexample.jpのDNSはここです

JP DNSサーバ

www.e
レスは xample.jpの192.1
68.2. IPアド
1で す

正しさを検証したい部分

example.jpのDNSサーバ

ユーザー
Copyright © 2009 株式会社日本レジストリサービス

11

JAPAN REGISTRY SERVICESDNSSECに関わるプレイヤー•

凡例★ICANN★：プレイヤーのe.jp
lpmexa.
?
w
ww レスはドIPアDNSサーバ(問合せ側)

インターネット★ISPや企業

www.example.
jpのIPアドレス
は?

ルートDNSサーバ
JPの署名情報登録★JPRS★指定事業者

192.168.2.1
です

★ユーザー

DNSサーバ(情報蓄積側)JP DNSサーバ example.jpの署名情報
登録

www.e
IPアド xample.jpのレDNSSEC
192.1 スは68.2.
利用申込み
1で す
正しさを検証したい部分
example.jpのDNSサーバ

Copyright © 2009 株式会社日本レジストリサービス★DNSプロバイダや企業

★登録者
12

JAPAN REGISTRY SERVICES

TLDにおけるDNSSEC対応状況(導入済)
状況

種別ｃｃTLDSE（スウェーデン）・2005年9月に導入開始、世界で最初にDNSSEC対応したTLD・2009年1月から料金を無料化
・これまでに多くのノウハウを外部に発信

PR（プエルトリコ）

・2006年8月に導入開始

BG（ブルガリア）

・2007年1月に導入開始

BR（ブラジル）･2007年6月に導入開始、2009年1月に全属性で対応
・最新方式（NSEC3）を採用した最初のTLD

CZ（チェコ）・2008年9月に導入開始

TH（タイ）

・2009年3月に導入開始、アジアで最初にDNSSEC対応したccTLDMUSEUM・2008年9月に導入開始

GOV（米国政府）

・2009年2月に導入開始、2009年末に全組織が対応予定

ORG

・2009年6月に導入開始、2010年に本サービス化予定

導入済

gTLD

特記事項

TLD名

Copyright © 2009 株式会社日本レジストリサービス

13

JAPAN REGISTRY SERVICES

TLDにおけるDNSSEC対応状況(導入予定)
状況

種別

特記事項

TLD名
CA（カナダ）DE（ドイツ）・2009年5月にテストベッドを開始

GR（ギリシャ）
ccTLD

導入を表明
（非公式含む）JP（日本）

・2010年を目処に導入予定

KR（韓国）

・2010年6月に導入し、2011年1月に全空間で対応予定

MY（マレーシア）・2009年3月からテストベッド開始

RU（ロシア）UK（イギリス）・プロトコル策定・IANAとの共同実験など積極的に活動

BIZ

gTLD

CAT

・2009年中に導入予定

COM・2011年の早い時期に導入予定

INFO
NET

Copyright © 2009 株式会社日本レジストリサービス

・2010年末までに導入予定

14