あなたのDNS運用は来るべきDNSSEC時代に耐えられますか

Size: px

Start display at page:

Download "あなたのDNS運用は来るべきDNSSEC時代に耐えられますか"

ゆきさえいさか
5 years ago
Views:

6 DNSSEC の信頼の連鎖 (1/2) 親ゾーンに子ゾーンの DS RR を登録することで子ゾーンを認証 KSK( 秘密鍵 ) で ZSK( 公開鍵 ) を署名 ZSK( 秘密鍵 ) でゾーンを署名以下ゾーン委任毎に繰り返すルートの KSK( 公開鍵 ) を DNSSEC 検証者 ( バリデータ ) が持つ主にキャッシュ DNS サーバ Copyright 2009 株式会社日本レジストリサービス 6

9 DNSSEC の 2 組の署名鍵 KSK (Key Signing Key) ZSK 公開鍵を署名するための鍵暗号強度の高い鍵 RSA で 2048bit や 4096bit など署名コストは高い少数の ZSK のみを署名対象とするため問題にならない ( 署名コストは鍵の長さに応じて増える ) KSK 公開鍵と暗号論的に等価な情報 (DS レコード ) を作成し親ゾーンに登録する利用期間を長くできるため鍵を更新する頻度 (= 親に送る頻度 ) を低くできる Copyright 2009 株式会社日本レジストリサービス 9

10 DNSSEC の 2 組の署名鍵 ZSK (Zone Signing Key) ゾーンを署名するための鍵比較的暗号強度の低い鍵 RSA で 768bit や 1024bit など署名コストが比較的低い大規模ゾーンでも運用しやすい安全確保のため ( ある程度 ) 頻繁に鍵を更新する必要がある ZSK そのものは親ゾーンに関係なく独立に変更できる KSK のような DS の登録は不要 Copyright 2009 株式会社日本レジストリサービス 10

11 DNSSEC 関係の RR DNSKEY RRSIG DS NSEC KSK ZSK 公開鍵の情報 ZSK による各 RR への署名 KSK 公開鍵のハッシュ値を含む情報 ( 親ゾーンに登録 ) 次の RR へのポインタと存在するレコード型の情報 NSEC3 NSEC を改良したもの ( 後述 ) NSEC3PARAM NSEC3 に必要な情報 Copyright 2009 株式会社日本レジストリサービス 11

14 いくつかの TLD が DNSSEC 対応済 or 対応を表明 gtld.org.gov.museum cctld ( 試験運用を含む ).BG.BR.CZ.PR.SE.TH VeriSign (.com.net 等 ) も対応表明 ROOT ゾーンの DNSSEC 対応も時間の問題 html nt-2-03jun09-en.htm 時間の問題で DNSSEC はみなさんのお手元に Copyright 2009 株式会社日本レジストリサービス 14

JAPAN REGISTRY SERVICES.JP の DNSSEC 対応は? 本日 (7/9) JPRS は JP ドメイン名を DNSSEC 対応することを表明しました JP ドメイン名サービスへの DNSSEC の導入予定について http://jprs.

15 JAPAN REGISTRY SERVICES.JP の DNSSEC 対応は? 本日 (7/9) JPRS は JP ドメイン名を DNSSEC 対応することを表明しました JP ドメイン名サービスへの DNSSEC の導入予定についてはじめに JPRSでは DNSのセキュリティ拡張方式であるDNSSEC を 2010 年中を目処にJPドメイン名サービスへ導入する予定で準備を進めています Copyright 2009 株式会社日本レジストリサービス 15

16 DNSSEC に対応しますか? 対応します : キャッシュサーバ側設定は比較的簡単対象ドメイン名のトラストアンカー (KSK 公開鍵 ) を設定に追加する ( 設定ファイルに数行の追加 ) ルートゾーンが DNSSEC 化されればトラストアンカーは. のみ設定現状は各 TLD 毎に必要また鍵更新された場合トラストアンカーも更新作業が必要しかし署名検証による負荷の増大は想像に難くない Copyright 2009 株式会社日本レジストリサービス 16

18 DNSSEC に対応しますか? 対応します : 権威サーバ側 ( 続き ) 鍵を管理する定期的な鍵更新同じ鍵を長期間使い続けるのは鍵解析のリスクとなる ZSK の更新 ( 例えば 1 ヶ月に 1 回とか ) 新たな ZSK を作りゾーンを再署名 KSK の更新 ( 例えば 1 年に 1 回とか ) 親ゾーンへの DS の登録情報の更新 ZSK への再署名ゾーン情報の更新ゾーン情報の再署名やることいっぱい! Copyright 2009 株式会社日本レジストリサービス 18

20 素朴な疑問 DNSSEC 非対応プログラムは? DNS Security Extensions 名前が示す通り DNSSEC は DNS の拡張機能 DNSSEC 対応でも設定を行わない場合あるいは DNSSEC 非対応でも従来の名前解決には影響が無いもちろん毒入れの脆弱性の対策にはならないよって DNSSEC 非対応は望ましくないでも Copyright 2009 株式会社日本レジストリサービス 20

23 DO(DNSSEC OK) ビット dig の +dnssec オプション問合せで EDNS0 を使い DO ビットを ON にする DNSSEC では EDNS0 のサポートは必須 DO ビット DNSSEC OK DNSSEC の応答を受ける DNSSEC を要求する権威サーバは問合せの DO ビットが ON であれば DNSSEC の情報を含んだ応答を返す Copyright 2009 株式会社日本レジストリサービス 23

24 権威サーバへの dig の結果 (1/2) +dnssec 無しの dig の応答 ; <<>> DiG <<>> a ; (1 server found) ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr aa; QUERY: 1, ANSWER: 1, AUTHORITY: 3, ADDITIONAL: 4 ;; QUESTION SECTION: ; IN A ;; ANSWER SECTION: 60 IN A ;; AUTHORITY SECTION: nic.se IN NS ns3.nic.se. nic.se IN NS ns2.nic.se. nic.se IN NS ns.nic.se. ;; ADDITIONAL SECTION: ns.nic.se IN A ns.nic.se IN AAAA 2a00:801:f0:53::53 ns2.nic.se IN A ns3.nic.se. 60 IN A ;; Query time: 328 msec ;; SERVER: #53( ) ;; WHEN: Tue Jul 7 23:39: ;; MSG SIZE rcvd: Copyright 2009 株式会社日本レジストリサービス 24

25 権威サーバへの dig の結果 (2/2) +dnssec 有り各 RR に RRSIG RR を加えたものが返る ; <<>> DiG <<>> +norec a ; (1 server found) ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 5979 ;; flags: qr aa; QUERY: 1, ANSWER: 2, AUTHORITY: 4, ADDITIONAL: 9 ;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags: do; udp: 4096 ;; QUESTION SECTION: ; IN A ;; ANSWER SECTION: 60 IN A IN RRSIG A nic.se. izdsohtb1xthccw2wv4tzjl ;; AUTHORITY SECTION: nic.se IN NS ns2.nic.se. nic.se IN NS ns.nic.se. nic.se IN NS ns3.nic.se. nic.se IN RRSIG NS nic.se. pkdbuyxlqppnhlu9nazh ;; ADDITIONAL SECTION: ns.nic.se IN A ns.nic.se IN AAAA 2a00:801:f0:53::53 ns2.nic.se IN A ns3.nic.se. 60 IN A ns.nic.se IN RRSIG A nic.se. GzLodvUOd0oB4qfhhbp8H ns.nic.se IN RRSIG AAAA nic.se. 0tvno8Vz7Ihm27AZ+H ns2.nic.se IN RRSIG A nic.se. UcEcYGX59H8bAVGwhfwko ns3.nic.se. 60 IN RRSIG A nic.se. NRoFeFzAm0hoyKa2ObxjCfB ;; Query time: 382 msec ;; SERVER: #53( ) ;; WHEN: Tue Jul 7 23:39: ;; MSG SIZE rcvd: 1180 注意 :RRSIG は行の途中まで残り省略 Copyright 2009 株式会社日本レジストリサービス 25

26 DNSSEC 有無による存在しないドメイン名の検索 DNSSEC 無し (arimasen.org) $ dig arimasen.org a grep SIZE ;; MSG SIZE rcvd: 93 DNSSEC 有り (arimasen.org) $ dig +norec arimasen.org a grep SIZE ;; MSG SIZE rcvd: 1006 注 ) arimasen.org は現時点では存在しないドメイン名 a0 は a0.org.afilias-nst.info を省略して表記 (.ORG のネームサーバの一つ ) Copyright 2009 株式会社日本レジストリサービス 26

29 NSEC RR NSEC は存在しないものを証明するためのレコード存在するレコードすべてを整列し次のレコードへのリスト構造を生成することで存在しないものを証明する例 ) ns0.example.jp. IN NSEC ns2.example.jp. A RRSIG NSEC ns0.example.jp の次のドメイン名は ns2.example.jpでa とRRSIGとNSECのレコードを持つ ns1.example.jp は存在しないことが分かるもちろん NSEC RR にも RRSIG を付加し署名の検証を行う Copyright 2009 株式会社日本レジストリサービス 29

31 ここまでのまとめ DNSSEC 対応になると署名の付加によりゾーンデータが大きくなる 5~10 倍程度 ( 鍵の bit 長に依存 ) プライマリが署名するとセカンダリにもインパクトがある DNS 応答パケットのサイズが大きくなる DNSトラフィックが増えるキャッシュサーバのキャッシュ効率が落ちる特に存在しない名前の検索では顕著 Copyright 2009 株式会社日本レジストリサービス 31

35 DNSSEC をサポートできるキャッシュサーバの挙動キャッシュサーバは権威サーバへ問い合わせる際 DO ビットを必ず ON にする RFC 3225 Indicating Resolver Support of DNSSEC Section 3 より抜粋 A recursive DNSSEC-aware server MUST set the DO bit on recursive requests, regardless of the status of the DO bit on the initiating resolver request. よって権威サーバはゾーン情報が DNSSEC で署名されていれば必ず RRSIG 付で応答何故? Copyright 2009 株式会社日本レジストリサービス 35

36 DNSSEC をサポートできるキャッシュサーバの挙動 ( 続き ) キャッシュサーバとバリデータは独立キャッシュサーバ ( バリデータ ) が別のキャッシュサーバをフォワーダーとして利用する場合スタブリゾルバが署名検証を行うような場合署名済みならばレコードに付随する RRSIG がキャッシュされていないとバリデータは署名の検証ができなくなる RRSIGは存在するレコードに付随するレコード通常 RRSIGだけを単独で問合せることは無い Copyright 2009 株式会社日本レジストリサービス 36

DNSSECの基礎概要

DNSSECの基礎概要 DNSSEC の基礎概要 2012 年 11 月 21 日 Internet Week 2012 DNSSEC チュートリアル株式会社日本レジストリサービス (JPRS) 舩戸正和 Copyright 2012 株式会社日本レジストリサービス 1 本チュートリアルの内容 DNSSECの導入状況 DNSキャッシュへの毒入れと対策 DNSSECのしくみ鍵と信頼の連鎖 DNSSECのリソースレコード(RR)

あなたのDNS運用は 来るべきDNSSEC時代に耐えられますか

あなたのDNS運用は来るべきDNSSEC時代に耐えられますか