Microsoft PowerPoint 版_Root_JPの状況.ppt

Size: px

Start display at page:

Download "Microsoft PowerPoint 版_Root_JPの状況.ppt"

あきみすえたけ
4 years ago
Views:

1 DNSSEC 2013 スプリングフォーラム Root / の状況 2013 年 5 月 29 日 ( 水 ) 株式会社日本レジストリサービス坂口智哉 1

2 本日の流れ I. Root の状況 1. DSレコードの登録状況 2. Rootにおける主なトピックス II. の状況 1. DSレコードの登録状況 2. DSレコードの問い合わせ数 3. DNSSECとDNS Reflector Attacks 2

3 1. DS レコードの登録状況 Root TLD 数年 5 月 20 日現在 105 / 317 が DS 登録 DS 登録済 TLD 数 /09/ /01/ /05/ /09/ /01/ /05/ /09/ /01/28 ( より ) 3

4 2. Root における主なトピックス Root ICANN が Root KSK Rollover について検討開始 2013 年 3 月パブリックコメント募集中 (ICANN) ( ) 新 gtld の登場現在の予定では 2013 年 8 月から新 gtld が順次稼動開始新 gtld では DNSSEC 対応が必須条件の 1 つレジストリの DNSSEC 対応レジストリの DPS Web 公開レジストラの DNSSEC 対応 4

5 2. Root における主なトピックス Root gtld Registry Agreement ( ) 1.3. DNSSEC. Registry Operator shall sign its TLD zone files implementing Domain Name System Security Extensions ( DNSSEC ). During the Term, Registry Operator shall comply with RFCs 4033, 4034, 4035, 4509 and their successors, and follow the best practices described in RFC 4641 and its successors. If Registry Operator implements Hashed Authenticated Denial of Existence for DNS Security Extensions, it shall comply with RFC 5155 and its successors. Registry Operator shall accept public-key material from child domain names in a secure manner according to industry best practices. Registry shall also publish in its website the DNSSEC Practice Statements (DPS) describing critical security controls and procedures for key material storage, access and usage for its own keys and secure acceptance of registrants public-key material. Registry Operator shall publish its DPS following the format described in RFC ( 5

6 1. DS レコードの登録状況 /01/ /05/ /09/ /01/ /05/ /09/ /01/ /05/16

7 2. DS レコードの問い合わせ数 (1/6) JP DNS へのクエリのうち 3% が DS レコードの問合せ感覚的に多い気がするなぜ?? 7

8 2. DS レコードの問い合わせ数 (2/6) とある ISP がキャッシュ DNS の Validation を ON DS レコード登録開始 Increasing DS queries for JP DNS servers (DNS-OARC 2013 Spring workshop JPRS 藤原 ) 2010/10/ /04/ /10/ /04/ /10/ /04/01 8

9 2. DS レコードの問い合わせ数 (3/6) DS レコードの問い合わせ数が多い理由のネガティブキャッシュの TTL は分 NS DS Glue レコードの TTL は日 JP ドメイン名の多くは署名されていないしたがって DS レコードも登録されていない Validator は DS レコードがあるかどうか毎回確認 9

10 2. DS レコードの問い合わせ数 (4/6) 結果として DS レコードが登録されておらずかつ人気のある ( アクセス数の多い ) ドメインに対して Validation ON のキャッシュ DNS サーバーから頻繁にクエリが来ることになる最大で 1 日 96 回 ( ) のクエリが来る可能性がある例えば google.co.jp など 10

11 2. DS レコードの問い合わせ数 (5/6) 影響権威 DNS サーバー Validator の数が増えていきかつドメイン名が DNSSEC 署名 (DS レコードが登録 ) されていかないと DS レコードのクエリが増大していくただしこれは Root や TLD など委任の多いゾーンにおける問題キャッシュ DNS サーバー ValidationをONにしたキャッシュDNSサーバーがDSレコードを問い合わせる回数が増える結果としてトラフィックが増大 11

12 2. DS レコードの問い合わせ数 (6/6) 対策案ゾーンのネガティブキャッシュ TTL を長くする 2006 年に更新間隔の短縮とともにネガティブキャッシュ TTL を短くした経緯がある ( ) すべての JP ドメイン名を署名する現実的ではないか署名されていない JP ドメイン名に対してダミーの DS を付け加えるプロトコルに手を加える必要あり JP DNS の設定変更について ( 12

13 3. DNSSEC と DNS Reflector Attacks DNSSECによって応答サイズが増大する権威 DNSサーバーを踏み台にして DNS Reflector Attackをしやすい状況になる JP DNSに対して ANY を引くと 1840 バイトの応答 SOA, RRSIG(SOA), NS, RRSIG(NS), DNSKEY, RRSIG(DNSKEY), NSEC3PARAM, RRSIG(NSEC3PARAM) Response Rate Limiting(RRL) の導入を検討中 13

14 その他 DNSSEC に対応した ICANN 認定レジストラの数 2013 年 1 月 17 日現在 25 社 ( アメリカ (US) スウェーデン (SE) ドイツ (DE) オランダ (NL) のレジストラが比較的多い申告制なので実際にはこれよりも多い可能性がある現在の契約では DNSSEC の対応は必須ではない DNSSEC に対応した JP ドメイン名指定事業者の数 2013 年 5 月 1 日現在 6 社 ( 申告制なので実際にはこれよりも多い対応されている指定事業者様は是非ご連絡を! 14

15 15

DNSSEC導入に関する世界的動向

DNSSEC導入に関する世界的動向 DNSSEC 導入に関する世界的動向 2010 年 11 月 25 日 DNS DAY, Internet Week 2010 佐藤新太株式会社日本レジストリサービス内容 2010 年に急速に展開が進んだ DNSSEC に関しルート gtld cctld における DNSSEC の導入状況を紹介する目次 DNSSEC 対応が必要な関係者ルート TLD