4-2

DNS

1

DNS の動向2森下 泰宏●株式会社日本レジストリサービス（JPRS） 広報宣伝室 技術広報担当

ルートゾーンの DNSSEC 鍵署名鍵更新の一部日程が延期され、作業期間が延長。TLD レジストリシステムや DNS サーバーソフトウェアの脆弱性が報告された一方、BIND の構造を簡略化し安定化を図る動きも。

34■ルートゾーン KSK ロールオーバーの作業期間延長
2017年9月27日（米国太平洋夏時間）、ICANNの更新スケジュールを運用開始後 5 年以降と定め3ており 、今回が 2010 年の運用開始後、初の実施5となる。

が 2017 年から 2018 年にかけて実施中のルート【DNSSEC における信頼の連鎖とルートゾーンでゾーン KSK ロールオーバーの作業のうち、2017の取り扱い】

年10月11日（協定世界時）に予定されていた「新DNSSEC では、受け取った公開鍵と署名が正KSK（KSK-2017）による署名開始」を延期する旨当なものであることを、「信頼の連鎖」と呼ばれ1を発表した 。この決定により、以降の日程を含る仕組みで証明する。親子間の信頼の連鎖は、そむルートゾーン KSK ロールオーバーの作業期間のゾーンの公開鍵から生成された DS レコードをが延長されることとなった。

親ゾーンに登録し、親ゾーンが自分の秘密鍵で署名・公開することを繰り返すことで構成される。

●ルートゾーン KSK ロールオーバーの概要

実際のDNSSECでは、運用上の理由からゾーン

ルートゾーン KSK ロールオーバーは、ルート署名鍵（ZSK）と KSK の 2 種類の鍵が使われるこゾーンのDNSSECで使われている鍵署名鍵（KSK）とが多く、親ゾーンには KSK の公開鍵から生成さを、新しい鍵に更新する作業である。ルートゾーれた DS レコードが登録され、ゾーンの署名には2ンの KSK の運用について定めた DPS では、KSKZSK の秘密鍵が使われる（資料 4-2-1）。

インターネット白書／ ©1996-2018 Impress R&D
第4部

サイバーセキュリティ動向2556

1

資料 4-2-1 親子間の信頼の連鎖2345
出典：著者作成

6

DNSSECではセキュリティ上の理由により、使われる鍵が定期的に更新されている。KSKの更新

め、親ゾーンに登録された DS レコードも、併せて更新する必要がある（資料 4-2-2）。の際には信頼の連鎖が損なわれないようにするた
資料 4-2-2 ルートゾーン以外の KSK の更新時に必要な作業（example.jp の例）

出典：著者作成

インターネット白書／ ©1996-2018 Impress R&D

256

第4部

サイバーセキュリティ動向

ルートゾーンは DNS の階層構造の頂点に位置

このため、ルートゾーンの KSK を更新する場しているため、親ゾーンへの登録に代え、KSK合、インターネットで運用されているすべてのの公開鍵、あるいは公開鍵から生成された DS レ

DNSSEC バリデーターのトラストアンカーを併

コードを、署名検証を行うリゾルバー（DNSSECせて更新し、新しいKSK に対応させる必要があるバリデーター）にあらかじめインストールしてお（資料 4-2-3）。これが、ルートゾーン KSK ロールき、信頼の起点として扱う。これを「トラストアオーバーが他のゾーンの KSK の更新と異なってンカー」と呼ぶ。

いる点である。

123

資料 4-2-3 ルートゾーン KSK の更新時に必要な作業

45

6

出典：著者作成●トラストアンカーの更新方法
トラストアンカーの更新方法には、手動更新と4古い KSK によるものから新しい KSK によるものに切り替わったことを確認する

自動更新の 2 種類がある 。

(3) ルートゾーンの DNSKEY レコードの TTL で設【管理者による手動更新】

定された時間が経過した後、古い KSK に対応する手動更新の場合、それぞれのDNSSECバリデー

トラストアンカーを削除する

ターの管理者が以下の手順を実行する。
【RFC 5011 による自動更新】(1) ルートゾーンの DNSKEY レコードの署名の切

DNSSECの運用を自動化し、オペレーションミり替え日よりも前に、DNSSEC バリデーターに新スによる事故を防止するため、トラストアンカー

しいKSKに対応するトラストアンカーを追加設定の自動更新の仕様が、RFC 5011 として標準化さし、旧・新双方のトラストアンカーに対応させるれている。

(2) ルートゾーンの DNSKEY レコードの署名が、BIND や Unbound など主要なフルリゾルバー

インターネット白書／ ©1996-2018 Impress R&D
第4部

サイバーセキュリティ動向

257

1

2（キャッシュ DNS サーバー）はトラストアンカー

トラストアンカーの自動更新では、古いトラスの自動更新をサポートしており、デフォルトで有トアンカーの削除も自動化されている。古いKSK

効になっている。に失効（REVOKE）ビットがセットされてから30

DNSSEC バリデーターにおいてトラストアン日後、DNSSECバリデーターから古いKSKに対応カーの自動更新が有効に設定されている場合、するトラストアンカーが自動的に削除される。

ルートゾーンの DNSKEY レコードに新しい KSK

3が追加されてから 30 日後に、DNSSEC バリデー
ターに新しい KSK に対応するトラストアンカー

2016 年に発表された、ルートゾーン KSK ロー
ルオーバーの作業予定を資料 4-2-4 に示す。

が自動的に追加される。

4●ルートゾーン KSK ロールオーバーの状況

資料 4-2-4 ルートゾーン KSK ロールオーバーの作業予定（2016 年時点の発表）

56

出典：ICANN の公開文書「2017 KSK Rollover Operational Implementation Plan Version: 2016-07-22（https://www.icann.org/en/system/files/files/ksk-rollover- operati
onal- implementation- plan- 22jul16- en.pdf）の情報をもとに作成

この予定に基づき、DNS運用に影響を及ぼす可ICANN は今回の作業延期の理由として、2017

能性がある重要日付とその内容として以下の 2 つ

年 4 月に RFC 8145 として標準化された手法によが示され、国内外の関係者からネットワーク管理

り DNSSEC バリデーターの対応状況を調査した者・フルリゾルバーの管理者に対し、設定状況の結果、調査対象となったDNSSECバリデーターの確認と、問題が発見された場合の対応が呼びかけ

約 5 ％が現在の KSK（KSK-2010）のみに対応し56ている状況であり、ルートゾーン KSK ロールオーられた 。
その後、2017年10月10日までの作業日程は予定通りに実施・確認され、作業によるものと思われるトラブルの発生は、特に報告されなかった。

バーに向けた準備が整っていないことが新たに判7明したことを挙げている 。
今回の調査によるトラストアンカーの変化の【ICANN による作業延期の発表】

状況を資料 4-2-5 に示す。トラストアンカーの自しかし、2017 年 9 月 27 日（米国太平洋夏時間）、動更新が動作する 2017 年 8 月 10 日以降、多くのICANN が 2017 年 10 月 11 日に予定されていたDNSSEC バリデーターが KSK-2010 と KSK-2017「新 KSK による署名開始」の作業を延期する旨をの双方を保持するようになったが、KSK-2010 の発表し、ルートゾーンKSKロールオーバーの作業みを保持し続けている DNSSEC バリデーターも期間が延長されることとなった。

一定数存在していることが読み取れる。

インターネット白書／ ©1996-2018 Impress R&D258

第4部

サイバーセキュリティ動向

資料 4-2-5 トラストアンカーの変化の状況

12345
出典：A Look at RFC 8145 Trust Anchor Signaling for the 2017 KSK Rollover（https://indico.dns-oarc.net/event/27/session/1/contribution/11/material/slides/0.pdf）●今後の予定6ない。

ICANN は今後、状況の分析を進めると共に、その後、ICANN は 2017 年 12 月 18 日（米国太準備が整っていない DNSSEC バリデーターの IP

平洋時間）に公式ブログで、これまでの調査結果アドレスを公開し、関係者に対応を促す予定でと今後の予定を含む、アップデート情報を公開ある。なお、今回の期間延長はルートゾーン KSKした 。本ブログに記載された今後の予定を資料

ロールオーバーの作業手順そのものを変更する

4-2-6 に示す。

8ものではないため、DNS 運用への新たな影響は
資料 4-2-6 ルートゾーン KSK ロールオーバーの今後の予定（2017 年 12 月 18 日発表）

出典：ICANN の公開文書「Update on the Root KSK Rollover Project - ICANN」（https://www.icann.org/news/blog/update-on- the- root- ksk- rollover- project）の情報をもとに筆者作成

ICANN では、作業実施の少なくとも第 1 四半期（3 か月）前までに作業日を決定し、すべての利害関係者にその旨を事前に伝える旨を併せて発表している。

■セキュリティインシデントの状況●.io の障害（2017 年 7 月）
io は英領インド洋地域の ccTLD である。入出力を意味する I/O を想起させることもあり、日本を含む世界各国で使われている。

インターネット白書／ ©1996-2018 Impress R&D
第4部

サイバーセキュリティ動向259

1232017 年 7 月 10 日、セキュリティ研究者のマ【セキュリティホールの内容】

シュ―・ブライアント氏が、.io の登録システムに2017 年 7 月当時設定されていた.io の権威 DNS

存在したセキュリティホールにより、.io の TLD

サーバー 7 台のうち、ns-a1.io〜ns-a4.io の 4 台に全体をハイジャック可能な状態であったことを公ついては.io にドメイン名登録されておらず、io9開した 。なお、このセキュリティホールは既にゾーンに IP アドレスを直接記述する形で管理さ修正済みである。

れていた （資料 4-2-7）。

資料 4-2-7

10

io ゾーンのネームサーバーホストの設定状況（2017 年 7 月時点）

456

出典：The .io Error - Taking Control of All .io Domains With a Targeted Registration | The Hacker Blog（https://thehackerblog.com/the-io- error- taking- control- of-all- io- domains- with- a- targeted- registration/）の情報をもとに筆者作成

ブライアント氏が ns-a1.io がドメイン名登録さをブロックすべきであったにもかかわらず登録にれていないことに気付き、レジストラ経由で登録成功し、ns-a1.io の不適切な NS レコードが設定申請を試したところ、本来はレジストリ側で登録された（資料 4-2-8）。

インターネット白書／ ©1996-2018 Impress R&D260

第4部

サイバーセキュリティ動向

資料 4-2-8 不適切な NS レコードの設定

12345
出典：The .io Error - Taking Control of All .io Domains With a Targeted Registration | The Hacker Blog（）https://thehackerblog.com/the-io- error- taking- control- of- all- io- domains- with- a- targeted- registration/）の情報をもとに作成

同氏はすぐに問題に気付き、別の攻撃者に同様で追加された、入力された文字列を画面上でクの行為をされないよう、残りのns-a2.io〜ns-a4.ioリッカブルに表示する機能の実装において、ユーの 3 台についても同様のドメイン名登録をした上ザーが入力した文字列がそのまま DNS クエリとで、それらの NS レコードで指定された権威 DNSして送られるようになっており、パスワードを含サーバーのネームサーバープロセスを停止した

む機密情報がユーザーの意図に反して平文でネッが、一連の作業の途中で一時的に不適切な DNSトワーク上に流される状態になっていたことが、応答を返してしまった結果、.io 全体が不安定に2017 年 9 月 20 日に報告された 。

12なる事象が発生した。その後、同氏からの緊急連

iTerm2 の開発者のジョージ・ナックマン氏は絡を受けた.io のレジストリが対策を実施し、現本件について、セキュリティとプライバシー上の在は復旧している。

配慮が足りなかったことを認め、その後リリース

なお、.io では 2017 年 9 月にも、登録済みのドメイン名であるにもかかわらず、io ゾーンの権威されたiTerm v3.1.1において、本機能は無効化されている。

DNSサーバーの一部が「そのドメイン名は存在しない（NXDOMAIN）」旨の応答を返す、前述の障■ DNS サーバーソフトウェアの脆弱性害とは別の障害が発生している。

● BIND の脆弱性の状況
代表的なDNSソフトウェアであるBINDについ● iTerm2 に お け る DNS 経 由 で の 情 報 漏 え いて、2017 年は、これまでで最多となる 12 件の脆（2017 年 9 月）

弱性が報告された。2017 年中に JPRS が注意喚起
112016 年 7 月にリリースされた iTerm2 v3.0.0

した BIND の脆弱性の一覧を資料 4-2-9 に示す。

インターネット白書／ ©1996-2018 Impress R&D
第4部

サイバーセキュリティ動向

2616

1

資料 4-2-9

2017 年中に JPRS が注意喚起した BIND の脆弱性の一覧

234
出典：筆者作成

5616

2017年の特徴として、1月12日に4件、4月13に 複 数 の 脆 弱 性 が 発 表 さ れ て い る RPZ 、

日に 3 件、6 月の 15 日と 30 日にそれぞれ 2 件の脆

query.c の query̲find 関 数 、resolver.c の弱性情報が公開されており、同じ機能や類似するresquery,answer̲response,noanswer̲response

機能に関する複数の脆弱性が、同時に発表される関数のリファクタリングを集中的に進めており、傾向が見られた。

2018 年 1 月 23 日に BIND 9.12.0 としてリリース
13

その背景として、ファジング と呼ばれる、検された。

査対象のソフトウェア製品に「ファズ（fuzz）」と呼ばれる問題を引き起こしそうなさまざまなパ■ルートサーバーの状況

ターンのデータ、たとえば、極端に長い文字列や●ルートサーバーの概要通常用いない制御コードなどを大量に送り込み、ルートサーバーは DNS の階層構造の頂点となその応答や挙動を監視することで脆弱性を検出するルートゾーンを管理する権威 DNS サーバー群

14る手法が活用されたことが挙げられている 。

であり、インターネットにおいて重要な役割を担っているサーバーの 1 つである。
ルートサーバーは、A から M までの 13 系列が● BIND のリファクタリング
こうした状況を受け、開発元である ISC では稼働している。ICANN が管理・運用の責任を負

BIND の内部構造を簡略化して安定性を向上させい、各ルートサーバーを担当する組織間で情報共15る、リファクタリングを進めている 。
ISC で は 、処 理 内 容 が 複 雑 で こ れ ま で有や情報交換をしつつ、それぞれの組織が独自に運用を行っている（資料 4-2-10）。

インターネット白書／ ©1996-2018 Impress R&D262

第4部

サイバーセキュリティ動向

資料 4-2-10 ルートサーバーの運用組織一覧

12345

出典：筆者作成●ルートサーバーにおけるインシデント事例の状標的となっている。ルートサーバーが標的となっ況とその対策た主なインシデント事例の状況を、資料4-2-11にルートサーバーはその重要性と障害発生時の影6示す。

響の大きさから、これまでに何度か、DDoS攻撃の資料 4-2-11 ルートサーバーが標的となった主なインシデント事例

出典：筆者作成【IP Anycast の導入】

●ルートサーバーに関する最近のトピックス

こうした DDoS 攻撃の影響軽減や局所化、応答性能の向上を図るため、ルートサーバーには以前
17【B-Root の IP アドレス変更】
IP Anycast の円滑な運用のため、ルートサーから IP Anycast の導入が進められており、本稿

バーの 1 つである B ルートサーバー（B-Root）の執筆時点で 900 を超えるサイトが、世界中で稼動

IPv6 アドレスが 2017 年 6 月 1 日に、IPv4 アドレ

18

している 。

19スが 2017 年 10 月 24 日に変更された 。
【M-Root が運用開始から 20 周年を迎える】
M ルートサーバー（M-Root）は日本、そしてインターネット白書／ ©1996-2018 Impress R&D
第4部

サイバーセキュリティ動向

263

12

東アジア地域に初めて設置されたルートサーバー

M-Root には 2004 年から IP Anycast が導入さである。1997 年 8 月 22 日に WIDE プロジェクト

れており、2017 年 12 月現在、東京（3 つ）、大阪によって運用が開始され、2005 年からは WIDE

（1 つ）、ソウル（1 つ）、パリ（2 つ）、サンフラン

プロジェクトと JPRS により共同運用されており、シスコ（1 つ）の、合計 8 つのサイトが稼動して2017 年に運用開始から 20 周年を迎えた。

いる。

1.KSK Rollover Postponed ‒ ICANN

12.Dnslookupissue ・ Wiki ・ George Nachman / iterm2 ・ GitLab3https://www.icann.org/news/announcement-2017-09-27-enhttps://gitlab.com/gnachman/iterm2/wikis/dnslookupissue

2.DPS（DNSSEC Practice Statement）。管理対象ドメイン名にお13. 脆弱性対策：ファジング：IPA 独立行政法人 情報処理推進機構

ける DNSSEC サービスの安全性や運用のポリシー、考え方、手4順などについて網羅的にまとめた文書で、そのドメイン名のDNSSEC 運用者が必要に応じて作成・公開する。
3.DNSSEC Practice Statement for the Root Zone KSK Operator
https://www.iana.org/dnssec/icann-dps.txts
4.ICANN が主な DNSSEC バリデーターにおける、トラストアンカー5の更新方法を公開している。

出にファジングを活用していることが記述されている。
2016 Accomplishments - Another year of open source networking software
https://www.isc.org/blogs/2016-accomplishments-another-year-of-open-source-networking-software/

Updating of DNS Validating Resolvers with the Latest TrustAnchor ‒ ICANN

15.BIND 9 Refactoring | Internet Systems Consortium
https://www.isc.org/blogs/bind-9-refactoring/https://www.icann.org/dns-resolvers-updating-latest-trust-a

16.Response Policy Zones。フルリゾルバー（キャッシュ DNS サーバー）がクライアントに返す応答内容を、そのフルリゾルバー

nchor

6

https://www.ipa.go.jp/security/vuln/fuzzing.html
14. 以下に示す ISC の 2016 年の活動レポートに、BIND の脆弱性の検5. ルートゾーン KSK ロールオーバーによる影響とその確認方法についての運用者のポリシーにより制御可能にする機能。
17. 共通のサービス用 IP アドレスを、複数のホストで共有する仕組

https://jprs.jp/tech/notice/2017-07-10-root-zone-ksk-rollove

み。IP Anycast を利用することで、1 つの IP アドレスを複数のホストに割り当てることが可能になる。

r.html2017 年 9 月 19 日以降に一部の DNS 応答のサイズ増大によりインターネット利用に影響が出る恐れがあります〜DNS、ネットワーク機器の確認のお願い〜

18.http://www.root-servers.org/ において、各ルートサーバーのサイト数と拠点の一覧が公開されている。
19.B-Root Begins Anycast in May

https://www.nic.ad.jp/ja/topics/2017/20170802-01.html

https://b.root-servers.org/news/2017/04/17/anycast.html

総務省｜ DNS の世界的な運用変更に伴うキャッシュ DNS サー

B-Rootʼs IPv4 address to be renumbered 2017-10-24

バーの設定更新の必要性

https://b.root-servers.org/news/2017/08/09/new-ipv4.html

http://www.soumu.go.jp/menu̲news/s-news/02kiban04̲0400
0212.html
6.DNSSEC バリデーターが使用中のトラストアンカーの情報を管理対象の権威 DNS サーバー（通常はルートサーバー）に伝達する機能を定義しており、ルートサーバーのアクセス状況を調べることで、ルートゾーン KSK ロールオーバーの進行状況を確認できるようになる。
7.Postponing the Root KSK Roll
https://www.icann.org/en/system/files/files/root-ksk-roll-pos
tponed-17oct17-en.pdf

延期となった KSK ロールオーバーについて
https://blog.nic.ad.jp/blog/postponed-ksk-rollover/
8.Update on the Root KSK Rollover Project - ICANN
https://www.icann.org/news/blog/update-on-the-root-ksk-rol
lover-project
9.The .io Error - Taking Control of All .io Domains With a TargetedRegistration | The Hacker Blog
https://thehackerblog.com/the-io-error-taking-control-of-all-io-domains-with-a-targeted-registration/
10. 同様の設定は.pl など他の TLD でも行われており、技術的には問題ない。
11.macOS で動作するターミナルエミュレーターで、機能と利便性の高さから広く使われている。

インターネット白書／ ©1996-2018 Impress R&D264

第4部

サイバーセキュリティ動向［インターネット白書 ARCHIVES］ご利用上の注意

このファイルは､ 株式会社インプレスR&D が 1996年〜 2018 年までに発行したインターネットの年鑑『インターネット白書』の誌面をPDF 化し､ ｢インターネット白書 ARCHIVES｣として以下のウェブサイトで公開しているものです。

https://IWParchives.jp/
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
●記載されている内容（技術解説、データ、URL、名称など）は発行当時のものです。
●収録されている内容は著作権法上の保護を受けています｡ 著作権はそれぞれの記事の著作者（執筆者、写真・図の作成者､ 編集部など）が保持しています。
●著作者から許諾が得られなかった著作物は掲載されていない場合があります。
●このファイルの内容を改変したり、商用目的として再利用したりすることはできません。あくま
で個人や企業の非商用利用での閲覧、複製、送信に限られます。
●収録されている内容を何らかの媒体に引用としてご利用される際は、出典として媒体名および年号、該当ページ番号、発行元（株式会社インプレスR&D）などの情報をご明記ください。
●オリジナルの発行時点では、株式会社インプレスR&D（初期は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが､ すべての情報が完全に正確であることは保証できません｡このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

お問い合わせ先│株式会社インプレス R&D│

U iwp-info@impress.co.jp│©1996-2018 Impress R&D