DNS Summer Days 2014 DNSSEC Update株式会社ブロードバンドタワーエキスパート大本貴貴11職性– 200年インターネット総合研究所入社– 2001年プロデュースオンデマンド(PoD)に出向• ストリーミング配信技術担当– 2007年インターネット総合研究所に帰任• 主に社内システムのサーバ運用、コンサルなど•  2010年春からDNSSECジャパンの活動に参加– 2010年ブロードバンドタワーに転籍・メインは社内情報システム担当。その他いろいろ。 • DNSSECジャパンの活動終了に伴いDNSOPS.jpの活動に合流• twitterでたまにDNSSEC関連のつぶやきをしています。 @taxiJPN •前回のSummerDays2013からこの約一年間でのDNSSEC関連のupdate情報についてまとめました。 (2013年06月～2014年06月まで) • これらの情報はccTLDのレジストリwebサイトやICANNの資料、DNSコミュニティ関連ML、JPRS社提供の情報等を確認してまとめたものです•半年前にInternetWeek2013で発表した内容と重複してしまうために一部Topicsは省略しますのでhttps://www.nic.ad.jp/ja/materials/iw/2013/proceedings/d2/d2-ohmoto.pdfもご参照ください。 • Agenda –DNSSEC導入・普及状況update –DNSSEC関連Topics  & 動向update • Agenda –DNSSEC導入・普及状況update –DNSSEC関連Topics  & 動向update
http://www.ohmo.to/dnssec/maps/ .
http://www.ohmo.to/dnssec/maps/ . 7
http://www.ohmo.to/dnssec/maps/ .
この1年でステータス変化のあったTLD (new-gTLDに属するTLDは除く)
. . . 2013年5月TLD全体の33%(105/317TLD)が導入済み。 2014年10月からnew-gTLDのrootへの導入が開始2014年6月1日現在68%(408/602TLD)が導入済みに。←new
.
. http://www.icann.org/en/news/in-focus/dnssec/deployment
2013年1月の時点でレジストラ側では40TLDのDNSSEC対応。 2014年5月に久々に更新され、レジストラ側では63TLDがDNSSEC対応となった。
•昨年のDNS SummerDays 2013にて発表された、 NTTネットワーク基盤技術研究所佐藤一道さんの計測手法を踏襲して、比較した。 – http://dnsops.jp/event/20130718/20130718-dnssec-sato-1.pdf –データソースも同じくAlexa Top100万ドメインのリストを利用• http://s3.amazonaws.com/alexa-static/top-1m.csv.zip • 2014/6/13日のリストデータを取得した検証環境(validator) bind9.8 (Scientific Linux6.1) $dig +dnssec @localhost $dig +dnssec @localhost DS $dig +dnssec @localhost DNSKEY等を利用し、フラグの立ち方、ステータス、対象リソースレコードおよびRRSIGレコードの有無等を確認した。
Alexa人気ランク順100万ドメイン中のステータス内訳
NoErrorステータス中のDNSSECステータス内訳
. . Alexa100万件レコードのTLDごと解析。昨年よりも署名率、Secure率共に増加傾向。 be、de、eduに関してはSecure割合が減少. (署名付きドメイン数、Secure数も増加しているがそれ以上にInsecure数が増えている)
. . .最もランクの高いドメイン名は去年に引き続きpaypal.com Alexaランク上位の署名付ドメイン名の中には有名サービスは多く含まれていない。 DNSSECの権威DNSサーバ側の対応状況はあまり進んでいないように思われる。
Alexaデンクピタインを
• Verisignlabsの調査データhttp://validator-search.verisignlabs.com/ .ブラウジングでPrefetchされたデータを元にvalidatorの普及率を調査公開された2012年9月時点では3.66% Preliminary Results Validators (4.56%) Non-Validators (95,442) | Validating ASes (2.16%) ■ Mixed Validating ASes (6.24%) ■ Non Validating ASes (91.59%) Validators/Non-Validators: 13251/277361 Bind/Unbound/Noninun/Other: 5397/5734/157/1819 Validating/Hixed-Validating/Non-Validating ASes: 200/578/8478 Percentage of resolvers doing DNSSEC validation Validation consistency DNSSEC validation at AS level 2014年6月現在4.56%とやや微増している。 • Agenda –DNSSEC導入普及状況update –DNSSEC関連Topics  & 動向update
.seで導入済みドメイン数急増116万ドメイン中、14万ドメイン12%前後2013年4月121万ドメイン中、33万ドメイン27%前後2013年10月https://www.iis.se/english/domains/domain-statistics/growth/?chart=per-type –スウェーデンの最大手レジストラの一つが全ての顧客のドメインをDNSSEC署名したとのこと。 Afnic(.frなどのレジストリ)では9月末よりDNSSEC適用キャンペーンを開始。 http://www.afnic.fr/en/about-afnic/news/operations-news/7355/showOperational/dnssec-promotional- campaign-check-it-out-1.html –   Financial Incentiveあり
GoDADDYのICANN47での発表
l 6000ユーザがGoDaddyの準備したDNSSEC toolを利用中、3500ユーザがDSを登録申請している。と発表。(なおGoDaddy全体は850万ユーザ以上) .govが、去年に引き続き、また・・・。 (8月)新しいKSK鍵のDSがrootに登録されてないのにKSKを切替lその一方で.govの80%がDNSSEC適用済みに。 lそして10月に開始した新gTLDでも･･･。 2つの新gTLDでいきなり署名期限切れトラブル(11月2日) l Онлайн(ロシア語でOnline) http://dnsviz.net/d/xn--80asehdb/UnVEfA/dnssec/ l Сайт(ロシア語でWeb site) http://dnsviz.net/d/xn--80aswg/UnYZQg/dnssec/

ICANN50 DNSSEC WorkShopの発表
Afnic(.frなどのレジストリ)では9月末よりDNSSEC適用キャンペーンを開始。 http://www.afnic.fr/en/about-afnic/news/operations-news/7355/showOperational/dnssec-promotional campaign-check-it-out-1.html Financial Incentiveあり→このキャンペーンの結果が6/25(水)のICANN50でAfnicから報告が出ました！ http://london50.icann.org/en/schedule/wed-dnssec/presentation-dnssec-afnic- 25jun14-en.pdf 2か月間、DNSSEC対応の新規/更新ドメインに対して10％のディスカウントキャンペーンプロモーション期間だけで1.25倍登録増加。 →2013年全体でDSレコード登録数1.5倍、1ドメイン以上署名した対応レジストラ数倍増、10ドメイン以上署名しているレジストラは1.8倍更に来年はレジストラを対象とした20％ディスカウント期間を実施する計画を公表。トラ同けキャンペーンで.frだけではなく.se、.eu. se、eu、でそれぞれレジスト
イン数が急増したことが翻訳DNSSEC対応トWindows2012サーバでのDNSSEC導入資料の公開– nslookupではDNSSEC未対応だが、 Windows8 & 2012ではResolve-DnsNameコマンドでDNSSEC対応実装。 .
•  First-Fragment piggybacking attacks問題– http://www.ietf.org/proceedings/87/slides/slides-87-saag-3.pdf – UDPパケットの分割された2番目以降のパケットの代替として偽装パケットを割り込ませることで不正な処理を引き起こせる。 – DNSSECはUDPペイロードサイズとしては4000バイトが推奨サイズ(SHOULD ※RFC4035より)であるため、UDPパケットが分割処理されるケースが想定される。このため、攻撃の影響を受ける対象として懸念されている。 –攻撃の影響として検証でのbogusや、それを利用したDoS Attackの可能性
•  JP DNSサーバーに設定されるDS RRのTTL値の変更
– http://jprs.jp/tech/notice/2013-11-06-jpdns-ds-ttl-change.html – TTL値1日→2時間へ変更(2013/11/17より) – KSKのキーロールオーバー処理等で発生した不整合に対する対策(復旧時間の短縮) – KSKロールオーバーに必要な総作業時間の短縮も期待できる対策各TLD・レジストリのDNSSEC対応は順調に進んできている。 ● –既存TLDでの順調な導入傾向に加え、新αTLDでは運用開始時にDNSSECは必須事項のためTLDレベルでは導入率が倍増した。(分母もだけど。) –各レジストラでのDS取次サービスでも対応TLDが増加してきている。 – TLDによっては対応レジストラおよびドメイン登録数が急増しているTLDも。 • .frや.se、.euのようなレジストリの施策による急増。 ●ただし、真の普及は権威DNSサーバ側、validator側でもまだまだこれから。google public DNS(8.8.8)でvalidationが有効になっている中、人気サイトの権威DNSサーバ側対応が待たれる。 ● ー方でDNSSECのパケットがアタックの標的になる可能性が報告されており、今後も動向の注視が必要。 ●新gTLDや.govでもキーロールオーバーfailのような失敗もあるが、 JPRSのTTL短縮の試みなど、失敗した時のリスク低減をするような試みも始まっている。 .
IANA TLD DNSSEC Report
http://stats.research.icann.org/dns/tld_report/ . Registry Services Evaluation Process (gTLD) http://www.icann.org/en/registries/rsep/
各TLDレジストリwebサイトhttp://www.iana.org/domains/root/db/ からリンクl . ICANN47 DNSSEC Workshop資料(2013/7/14-18開催) http://durban47.icann.org/documents l . ICANN48 DNSSEC Workshop資料(2013/11/17-21開催) l http://buenosaires48.icann.org/en/schedule/wed-dnssec . ICANN50 DNSSEC Workshop資料(2014/6/23-25開催) l http://london50.icann.org/en/schedule/wed-dnssec . Windows 2012 R2 Resolve-DnsName資料http://technet.microsoft.com/en-us/library/jj590781.aspx l .発表者のサイトwww.ohmo.to http://www.ohmo.to/dnssec/maps/今回の資料に関係する情報ソースを一部リンクしています。 .発表者のつぶやきtwilog.org/taxiJPN  (twilogおよび製作者の@roprossさんありがとうございます) http://twilog.org/tweets.cgi?id=TaxiJPN&word=dnssec上記URLで今回の資料に関係する情報ソースのつぶやきが確認できます。ご清聴ありがとうございました。