Microsoft PowerPoint - d1-大本　貴-DNSSECstatus_DNS-DAY [互換モード]

Size: px

Start display at page:

Download "Microsoft PowerPoint - d1-大本　貴-DNSSECstatus_DNS-DAY [互換モード]"

ほだかあいきょう
5 years ago
Views:

1 DNSSEC の現状 (DNS DAY2011) 株式会社ブロードバンドタワー大本貴

2 Who am I? 職歴 2000 年インターネット総合研究所入社 2001 年プロデュースオンデマンド (PoD) に出向ストリーミング配信技術担当 2007 年インターネット総合研究所に帰任主に社内システムのサーバ運用コンサルなど 2010 年春からDNSSECジャパンに参加 2010 年ブロードバンドタワーに転籍 2

3 本日お話しすることこの一年のDNSSECの動向 update この一年のDNSSECジャパンの活動運用技術 WGの紹介ロゴWGの紹介 3

4 この一年 (2010/11~) の DNSSEC Topics root に.net の DS 登録 (2010/12) root に.jp の DS 登録 (2010/12) JPRS が.jp ドメイン名サービスに DNSSEC 導入 (2011/1) (2011/11 にはキーロールオーバーも実施 ) root に.com の DS 登録 (2011/3) (gtld での最大ドメイン数保持 ) root に.de の DS 登録 (2011/6) (cctld での最大ドメイン数保持 ) 2010/11 時点で 34TLD 2011/11 時点で 64TLD ( 上記と別に IDN-TLD で導入済み 10TLD 13TLD) 合計 77 TLD が DNSSEC 導入済みになった ( 全 310TLD 中 ) (2011/11/16 現在 ) DNSKEY 公開済みは加えて 4TLD(+2 IDN-TLD) で合計 83TLD/310TLD 4

5 2010/11/25 (Internetweek2010) 5

6 2011/11/17 現在 6

7 この一年 (2010/11~) の DNSSEC Topics 公表されているドメイン数から見た DNSSEC 対応状況参考 : 各 TLD のドメイン登録数 ( レジストリ web サイト等で公表されている数字に限る ) gtld 合計 134,344,830 ドメイン DNSSEC 導入済み gtld の管理ドメイン数 132,594,356 ドメイン (98.69%) 前年 (9%) cctld 合計 77,659,219 ドメイン DNSSEC 導入済み cctld の管理ドメイン数 49,446,395 ドメイン (63.67%) 前年 (27%) TLD レベルでは上記の比率までは DNSSEC Ready になってきている状態あとはレジストラの対応次第で各ドメイン登録者が DNSSEC を導入するかどうか選択できるところまで進んできている現在このうち何 % が DNSSEC に対応しているかというと 7

8 DNSSEC ジャパン update 8

9 活動概要 2009/11/24 設立活動 2 年目 DNSSECに関係するプレイヤーの相互扶助を目的 ISP IXP ホスティングドメイン事業者ベンダ各種団体等 38 組織が参加活動状況 2010 年 12 月 22 日 Security Day 2011 年 2 月 24 日 APRICOT-APAN 年 3 月 3 日 Hosting-PRO 年 4 月 20 日 DNSSEC 2011スプリングフォーラム 9

10 DNSSEC ジャパン組織構成 DNSSEC ジャパン事務局技術検証 WG 運用技術 WG ロゴ WG 広報 WG 運用ワークショップ新設 (2011/5) 運用技術 SWG プロトコル理解 SWG 10

11 技術検証 WG の活動期間約 1 年 (2010/1/25~2011/4/11) 活動定例会合 13 回各検証項目実証実験等にて不定期に打合せ調査国際動向技術情報調査関連ツールの比較調査など検証レジストラ移転検証ネットワーク接続機器検証など技術検証環境の提供成果はメンバ内で取りまとめ資料公開 DNSSEC ジャパンの web サイト ( にて資料公開中 2011/4/20 DNSSEC.jp Spring Forum

12 技術検証 WG が公開している資料 (2010/11~) レジストリの鍵登録インターフェースに関する調査報告技術検証 WG において行ったレジストリの鍵登録インターフェースの調査についてまとめた資料レジストラ移転ガイドライン技術検証 WG において行った DNSSEC 導入後のレジストラ移転 DNS プロバイダ移転方法の検討の報告資料キャッシュ DNS サーバ DNSSEC 導入ガイドラインキャッシュ DNS サーバへの DNSSEC 導入についてのガイドラインをまとめた資料 DNS サーバ DNSSEC 導入 Load Balancer 機能チェックリスト DNS サーバへの DNSSEC 導入に伴い DNS サーバ上位の NW 機器においても考慮しなければならない確認事項をとりまとめた資料 DNSSEC ツール調査報告 DNSSEC に対応するツールやサービスライブラリの調査を行いましたその結果をとりまとめた資料 DNSSEC における鍵管理 DNSSEC における鍵管理の基本的なライフサイクルを説明したガイドライン DNS サーバ DNSSEC 導入鍵管理チェックリスト DNS サーバへの DNSSEC 導入に伴う鍵の作成と管理において考慮すべき確認事項を取りまとめた資料 12

13 運用技術 WG WG の活動目的.jp での DNSSEC 運用も開始しサービスへ導入した事業者も出てきている中で先達が解決してきた様々な技術的知見を集約し DNSSEC の運用を行っていくのにあたり技術情報をまとめ活用してもらいたいまた現在 DNSSEC へ足踏みしている技術的課題政治的課題について調査し導入への障壁を明らかにしたい活動状況これまでに 8 回の WG を開催 10 年 6 月 14 日より 3 週間に 1 度の開催導入組織での失敗事例 HSM DPS についての勉強会アンケートの実施 (DNSSEC 導入への障壁は何かをヒアリング ) メンバは親会から参加成果はメンバ内で取りまとめ資料公開をめざす 13

14 運用技術 WG の公開資料リリース 5 以前の RedHat Enterprise Linux およびその互換 OS をセカンダリサーバとして用いるゾーンへの DNSSEC の導入にあたっての注意喚起 DNSSEC の validation を有効にしているキャッシュサーバが再帰的問い合わせの過程でセカンダリサーバから応答を得ると validation に失敗する当該ゾーンが不在証明の方式として NSEC3 を採用しているとき DNSSEC の validation を有効にしているキャッシュサーバが再帰的問い合わせの過程でセカンダリサーバから応答を得ると不在証明に失敗する RHEL 系で yum install bind な人は是非ご一読をその他これまでの活動成果は現在取りまとめ中年明けから年度末に向けて公開していく予定 14

15 ロゴ WG の紹介 DNSSEC Ready ロゴを製作中自組織のサービスや製品が DNSSEC Ready だと表明する素材を提供 4 つのカテゴリーでチェックリストを作成キャッシュ DNS サーバ権威 DNS サーバドメイン登録 ( 登録者登録事業者等 ) 製品 ( ネットワーク機器 DNS サーバ製品鍵管理製品等 ) チェックリストを自己チェックして適合していたら DNSSEC Ready ロゴマークを利用してください 15

16 DNSSEC Ready ロゴ 16

17 利用規定 ( 抜粋 ) DNSSEC Ready ロゴおよび DNSSEC Ready チェックリスト ( 以降本ロゴおよび本チェックリストとする ) は商用非商用を問わず提供する製品やサービスがどの程度 DNSSEC に対応しているかを客観的に示すためのものである本ロゴおよび本チェックリストは特定のサービスあるいは製品が DNSSEC に対応していることを表明する手段として利用できる本ロゴおよび本チェックリスト利用者は本規定第 2 項で定めるカテゴリーにおいて対象のサービスあるいは製品に該当するチェックリストを自らチェックし適合が確認できた場合に適合するサービスあるいは製品を明示した上で本ロゴを利用できるただし本ロゴは DNSSEC ジャパンが何らかの認定を与えるものではない 17

18 チェックリスト ( 抜粋 ) キャッシュ DNS サーバチェックリスト (2011 年 11 月 4 日版 ) このチェックリストはキャッシュ DNS サーバが DNSSEC に関する問い合わせを正しく処理しクライアントに適切な応答を返すことができることを確認する利用者が DNSSEC Ready ロゴマークを使用するためにはこのチェックリストの中で該当する各項目に適合することが求められる他のカテゴリーのチェックリストを参照している部分についてはそのチェック結果を添付すること機能の確認ネットワーク機器 ( ルータ F/W IPS IDSなどのセキュリティ機器負荷分散装置など ) を含むシステムとしての機能の確認製品チェックリストの汎用ネットワーク機器製品に対応していることキャッシュDNSサーバの機能の確認 EDNS0に対応していること TCP/UDPともSRCもしくはDSTのPort53 宛てのパケットを送受信できること 512バイトより大きいペイロードを持つパケットを送受信できること IPフラグメントパケットを送受信できること UDPフラグメントの再構成が正しく行われること権威 DNSサーバにDO(DNSSEC OK DNSSECの情報を要求する ) ビットをつけて問い合わせ可能なことクライアントからのDO CD(Checking Disabled DNSSEC 検証を行わない ) の要求を正しく解釈して取り扱えること署名検証成功時はAD(Authentic Data DNSSEC 検証の成功 ) ビットをつけて応答すること署名検証失敗時はSERVFAILを応答すること 18

19 DNSSEC ジャパン全体としての活動 PGP 鍵管理検討 ICANN/IANAが公開しているルートゾーンの鍵に署名しているPGP 鍵の真正性をどうやって実証するか ICANNのレターヘッドの付いたfinger printを ICANN 大久保さんが海外から持ってきてくれた (JANOG28で読み上げていただいた ) DNSSEC ジャパンの今後の活動 2011 年 3 月に活動終了予定 2011 年春にイベント開催予定公開している資料等については公開継続 19

ご挨拶

ご挨拶 DNSSEC 入門 DNSSEC への対応 2013/05/29 日本インターネットエクスチェンジ株式会社日本 DNS オペレーターズグループ石田慶樹 Agenda DNSSEC 対応権威 DNSのDNSSEC 対応キャッシュDNSのDNSSEC 対応 2 Agenda DNSSEC 対応権威 DNSのDNSSEC 対応キャッシュDNSのDNSSEC 対応 3 DNSSEC 対応 DNSSEC

Microsoft PowerPoint - d1-大本 貴-DNSSECstatus_DNS-DAY [互換モード]

Microsoft PowerPoint - d1-大本　貴-DNSSECstatus_DNS-DAY [互換モード]