JAPAN REGISTRY SERVICES
2009年9月7日
第29回JPドメイン名諮問委員会
資料4

DNSSECの基本的仕組み
2009年9月7日
株式会社日本レジストリサービス

Copyright © 2009 株式会社日本レジストリサービス

1

JAPAN REGISTRY SERVICES

DNSとは

Copyright © 2009 株式会社日本レジストリサービス

2

JAPAN REGISTRY SERVICESDNSはインターネットの電話帳
名前

電話の場合
お店

電話番号

電話帳

○○株式会社の電話番号- 03-1234-XXXX○○株式会社
example商店の電話番号
example商店

お店にユーザー電話をかける

インターネットの場合△△△サービスの電話番号△△△サービス

Webサイトにユーザーアクセスする
Copyright © 2009 株式会社日本レジストリサービス- 03-5678-XXXX

・・
・
ドメイン名

IPアドレスDNSYahooのIPアドレス

http://example.jp

Webサイト- 03-3456-XXXX

yahoo.co.jp- 203.216.247.225

exampleのIPアドレス
example.jp- 192.0.2.10
mixiのIPアドレス

mixi.jp- 59.106.41.91

・・・3

JAPAN REGISTRY SERVICES

お店に電話をかけるとき（電話帳）
example商店(03-3456-XXXX)「電話」のやりとりの ３ は、「名前」ではなく「電話番号」を利用しておこなわれる。

お店
example商店に電話をかける３

example商店の電話番号は？

名前

電話番号

電話帳

○○株式会社の電話番号
電話帳を調べるユーザー

１
２

03-3456-XXXX

ユーザー自身が電話帳から「example商店」（名前）を探し、「電話番号」（アドレス）を調べる

Copyright © 2009 株式会社日本レジストリサービス○○株式会社- 03-1234-XXXX

example商店の電話番号
example商店- 03-3456-XXXX△△△サービスの電話番号△△△サービス- 03-5678-XXXX・・・4

JAPAN REGISTRY SERVICES

Webサイトにアクセスするとき（DNS）example.jp(192.0.2.10)「Webサイト」のやりとりの ３ は、「ドメイン名」ではなく「IPアドレス」を利用しておこなわれる。

http://example.jp

Webサイトexample.jpにアクセスする３

example.jpのIPアドレスは？
DNSを調べる

ユーザー

キャッシュサーバ

１
２

ドメイン名

IPアドレスYahooのIPアドレス
yahoo.co.jp- 203.216.247.225

exampleのIPアドレス
example.jp- 192.0.2.10
mixiのIPアドレス

192.0.2.10

ユーザーがWebサイトにアクセスしようとすると、ユーザーに代わってキャッシュサーバがDNSから「example.jp」（名前）を探し、「IPアドレス」（アドレス）を調べる

DNS

mixi.jp- 59.106.41.91

・・
・

ユーザーには、IPアドレスを調べるDNSの通信
１ ２ は見えない。
Copyright © 2009 株式会社日本レジストリサービス

5

JAPAN REGISTRY SERVICES

DNSにおけるセキュリティ上の脅威

Copyright © 2009 株式会社日本レジストリサービス

6JAPAN REGISTRY SERVICES

フィッシング（phishing）とは本物Webサイトと良く似た偽Webサイトを利用し、ユーザーID、パスワードなどの個人情報を入力させる。
入力した情報は第三者に盗まれてしまい、悪用される。
e.jp
lp
amx
e
正○○銀行
ID

1234

パスワード ****

ユーザー

○○銀行
偽exampID

le.jp

ダイレクトメールなどを利用して、ユーザーを偽Webサイトへ誘導する

Copyright © 2009 株式会社日本レジストリサービス

1234

パスワード ****

http://example.jp

Webサイト

http://example.jp

偽Webサイト

本物のWebサイトと見た目がそっくりな偽Webサイトを作る

7

JAPAN REGISTRY SERVICES

偽DNSを利用して、返事を偽装する
example.jpのIPアドレスは？
192.0.38.5

ユーザー

１
２

キャッシュ
サーバ

192.0.2.10
19

２
2.0.

38.5

DNS
exampleのIPアドレス
example.jp- 192.0.2.10

偽DNSexampleの偽IPアドレス
example.jp- 192.0.38.5

IPアドレスを聞かれなくても、とにかくひたすら返事を投げ続ける

タイミングよく ２ の返事を受け取ると、それが １ の正しい応答の２ として処理され、「example.jp」のIPアドレスは偽の「192.0.38.5」が採用されて、そのまま処理が進む

Copyright © 2009 株式会社日本レジストリサービス

8

JAPAN REGISTRY SERVICESDNSを悪用したフィッシングの手口「偽DNS」からの返事の ２ を本物の ２ と思って受け取ってしまうと、ユーザーが何も気がつかないまま ３ で、「偽Webサイト」にアクセスし、ID、パスワードなどの個人情報を入力し、盗まれてしまう

example.jp
example.jp(192.0.2.10)(192.0.2.10)
http://example.jp

Webサイトexample.jpにアクセスする３

example.jpのIPアドレスは？

DNS

ユーザー

１２

キャッシュ
サーバ

exampleのIPアドレス
example.jp- 192.0.2.10偽DNS
example.jp(192.0.38.5)

19

３

２2.0.

38.5

exampleの偽IPアドレス
example.jp- 192.0.38.5

http://example.jp

偽Webサイト

偽Ｗｅbサイトのアドレスも本物と同じ「example.jp」が見えるので、アドレスを見てもユーザーは異変に気づくのは難しい。

Copyright © 2009 株式会社日本レジストリサービス

9

JAPAN REGISTRY SERVICES

偽Webサイトに誘導されないようにするには？
example.jp(192.0.2.10)

２ ２ のどちらが正しいか分かれば、偽のWebサイトに誘導される危険はなくなる

http://example.jp

Webサイトexample.jpにアクセスする３「exampleのIPアドレス」に印鑑で捺印し、IPアドレスが本物であることを証明する
example.jpのIPアドレスは？

DNS

ユーザー

キャッシュ
サーバ

exampleのIPアドレス

１
２

example.jp- 192.0.2.10

偽DNS
example.jp(192.0.38.5)

３２

exampleの偽IPアドレス
example.jp- 192.0.38.5

http://example.jp

偽WebサイトCopyright © 2009 株式会社日本レジストリサービス

10

JAPAN REGISTRY SERVICESDNSSECとは

Copyright © 2009 株式会社日本レジストリサービス

11

JAPAN REGISTRY SERVICESDNSSEC（DNS Security Extensions）• DNSに登録されているIPアドレスが本物かどうかを判断する仕組み• 本物かどうかは、IPアドレスにある捺印でチェック捺印があるので本物と分かる
捺印がないので偽物の可能性がある

Copyright © 2009 株式会社日本レジストリサービス

exampleのIPアドレス
example.jp- 192.0.2.10

exampleの偽IPアドレス
example.jp- 192.0.38.5

12

JAPAN REGISTRY SERVICESDNSSECに必要なもの
ｅｘ
ａｍｐｌｅ

「example.jp」の印鑑「example.jp」の印影

ｅｘ
ａｍｐｌｅ

事前準備「example.jp」の印鑑で「example.jpのIPアドレス」に捺印する

exampleのIPのアドレス
example.jp

大切に保管する（実印のようなもの。盗まれると大変！）
誰でも見ることができる
捺印が正しいかのチェックに利用「印影」と「捺印したIPアドレス」をDNSに登録する
DNS

ｅｘ
ａｍｐ
ｌｅ

- 192.0.2.10
ｅｘ
ａｍｐ
ｌｅ

Copyright © 2009 株式会社日本レジストリサービス

ｅｘ
ａｍｐ
ｌｅ

exampleのIPアドレス
example.jp

ｅｘａｍｐ- 192.0.2.10 ｌｅ

13

JAPAN REGISTRY SERVICES

捺印と印影で本物かチェックする
example.jp(192.0.2.10)
http://example.jp

Webサイトexample.jpにアクセスする

３

DNSから「捺印のあるIPアドレス」とｅｘ
ｅｘ「印影」を受け取り、ｅｘ
exampleのIPアドレス ａｍｐ
ａｍｐ
ｅｘ
ａｍｐ
一致するかどうかを example.jpｌｅａｍｐ- 192.0.2.10 ｌｅｌｅｌｅ
チェックする。
一致するIPアドレスは本物一致しない
IPアドレスは偽物

example.jpのIPアドレスは？

DNS
ｅｘ
ａｍｐｌｅ

ユーザー
example.jp(192.0.38.5)

キャッシュ
サーバ

exampleのIPアドレス

１
２

example.jp

ｅｘａｍｐ- 192.0.2.10 ｌｅ

偽DNS
３

２

exampleの偽IPアドレス
example.jp- 192.0.38.5

http://example.jp

偽WebサイトCopyright © 2009 株式会社日本レジストリサービス

14

JAPAN REGISTRY SERVICES「捺印」「印影」が本物とは限らない「example.jp」の印影

ｅｘ
ａｍｐ
ｌｅ

「example.jp」の偽印鑑

ｅｘ ｐ
ａ ｍ ｌｅｅｘ
ａｍｐ
ｌｅ「example.jp」の印鑑「example.jp」の偽印影

ｅｘ
ａｍｐｌｅ

「example.jp」の印鑑で捺印した「example.jpのIPアドレス」「example.jp」の偽印鑑で捺印した「example.jpの偽IPアドレス」

exampleのIPアドレス

exampleの偽IPアドレス

example.jp

ｅｘ
ａｍｐ
ｌｅ

- 192.0.2.10

example.jp

ｅｘ
ａｍｐ
ｌｅ

- 192.0.38.5

偽Webサイトの運用者が、「偽印鑑」、「偽印影」、偽印鑑で捺印した「偽アドレス帳」を用意すれば、やはりユーザーは偽Webサイトへ誘導される
Copyright © 2009 株式会社日本レジストリサービス

15

JAPAN REGISTRY SERVICES

どっちの「印影」が本物？
example.jp(192.0.2.10)

DNSから受け取ったどっちの捺印も印影に一致する

example.jp

http://example.jp

両方とも本物？

Webサイト
３

ｅｘ
ａｍｐ
ｅｘ
ｌｅ
ａｍｐ
ｌｅｅｘ
ｅｘ
ａｍｐ
ａｍｐ
ｌｅ
ｌｅ
- 192.0.38.5

exampleの偽IPアドレス

example.jp
example.jpにアクセスする

ｅｘ
ｅｘ
ａｍｐ
ａｍｐ
- 192.0.2.10 ｌｅｌｅexampleのIPアドレス

example.jpのIPアドレスは？

ｅｘ
ｅｘ
ａｍｐ
ａｍｐｌｅ
ｌｅ

DNS
ｅｘ
ａｍｐｌｅ

ユーザー
example.jp(192.0.38.5)

exampleのIPアドレス

１

キャッシュ
サーバ

２

example.jp

ｅｘａｍｐ- 192.0.2.10 ｌｅ

偽DNS３

http://example.jp

偽Webサイト２
２ ２ の両方とも本物と判断される

Copyright © 2009 株式会社日本レジストリサービス

ｅｘ
ａｍｐ
ｌｅ

exampleの偽IPアドレス
example.jp

ｅｘ
ａｍｐ
ｌｅ

- 192.0.38.5

16

JAPAN REGISTRY SERVICES「印影」にJPRSが捺印「example.jp」の偽印鑑

ｅｘ ｐ
ａ ｍ ｌｅｅｘ
ａｍｐｌｅ「example.jp」の印鑑

JPRSに渡す「example.jp」の印影

ｅｘ
ａｍｐｌｅ「example.jp」の偽印影

ｅｘ
ａｍｐ
ｌｅ

「example.jp」の印鑑で捺印した「example.jpのIPアドレス」「example.jp」の偽印鑑で捺印した「example.jpの偽IPアドレス」

exampleのIPアドレス

exampleの偽IPアドレス

example.jp

ｅｘ
ａｍｐ
ｌｅ

- 192.0.2.10

example.jp

ｅｘ
ａｍｐ
ｌｅ

- 192.0.38.5「jpの印鑑」の捺印がある印影ｊｐ「example.jpの印影」に「jpの印鑑」で捺印して、JPRSがDNSに登録

ｊｐ

ｅｘ
ａｍｐ
ｌｅ

ｊｐ

ｅｘ
ａｍｐ
ｌｅ

「jpの印鑑」の捺印がない印影
ｅｘ
ａｍｐ
ｌｅ

Copyright © 2009 株式会社日本レジストリサービス

本物の「example.jpの印影」

偽物の「example.jpの印影」

17

JAPAN REGISTRY SERVICES「jpの捺印」は本物の証
example.jp(192.0.2.10)
http://example.jp「jpの印鑑」の捺印がない印影Webサイトexample.jpにアクセスする

ユーザー
example.jp(192.0.38.5)

３ｊｐ「jpの印鑑」の捺印がある印影「jpの捺印がある印影」のexample.jp「example.jpの印鑑」でのIPアドレスは？
捺印されているので本物

キャッシュ
サーバ

Copyright © 2009 株式会社日本レジストリサービス

ｅｘ
ａｍｐ
ｌｅ

偽物

ｊｐ

ｅｘ
ａｍｐ
ｌｅ

exampleのIPアドレス

１
２

example.jp

ｅｘａｍｐ- 192.0.2.10 ｌｅ

偽物

２「jpの捺印がない印影」の偽Webサイト「example.jpの印鑑」で捺印されているので偽物

http://example.jp

本物

本物

DNS

偽DNS
３

ｅｘ
ａｍｐ
ｌｅｅｘ
ａｍｐ
ｌｅ

exampleの偽IPアドレス
example.jp

ｅｘ
ａｍｐ
ｌｅ

- 192.0.38.5

18

JAPAN REGISTRY SERVICES

まとめ• DNSに登録されているIPアドレスが本物かどうかを判断する仕組み• 本物かどうかは、IPアドレスにある捺印でチェック• 捺印があっても、「jpの捺印がある印影」と一致しないと偽物と判断される
DNS
ｊｐ

ｅｘ
ａｍｐ
ｌｅ

exampleのIPアドレス
example.jp

ｅｘａｍｐ
ｌｅ- 192.0.2.10

偽DNS
ｅｘ
ａｍｐ
ｌｅ

exampleの偽IPアドレス
example.jp

Copyright © 2009 株式会社日本レジストリサービス

ｅｘ
ａｍｐ
ｌｅ- 192.0.38.5

19