DNSSEC ソフトウェアアップデート + DNSSEC 普及状況調査 NTT セキュアプラットフォーム研究所佐藤一道 Copyright(c) 2013 NTT Corporation 1

Size: px

Start display at page:

しげのぶわしあし
5 years ago
Views:

1 DNSSEC ソフトウェアアップデート + DNSSEC 普及状況調査 NTT セキュアプラットフォーム研究所佐藤一道 1

2 DNSSEC ソフウェアアップデート 2

3 DNSSEC Roadmap 調査資料 Shinkuro Inc から発行された資料権威サーバの運用者キャッシュサーバの運用者サービスプロバイダなど様々な目線から DNSSEC の現状や展望などが記載されている参考 URL: 第 3 章 First Layer: DNSSEC Tools & Implementation の調査を実施 3

4 DNSSEC 対応サーバ / サービス最近開発されたサーバとして Yadifa が挙げられる開発者は他サーバと比較して省メモリ高速であると主張開発元権威サーバキャッシュサーバ備考 BT Diamond IPControl IPControl Cisco -- Prime Network Register cz.nic knot-dns -- EURid Yadifa -- F5 Big-IP Global Traffic Manager Infoblox Infoblox Infoblox ISC BIND BIND Microsoft Windows Server Big-IP Global Traffic Manager NLnet Labs NSD unbound Nominum Nominum ANS Vantio Caching Platform PowerDNS PowerDNS Authoritative Server Secure64 DNS Authority DNS Cache DNS を用いたロードバランサ ( アプライアンスボックス ) -- PowerDNS recursor は DNSSEC 検証未対応 Verisign ATLAS -- サービスとして提供 4

5 運用ツール (1/2) フリーで利用できる鍵管理署名の自動化ツールはまだまだ少ない OpenDNSSEC DNSSEC-Tools が挙げられる商用利用に耐え得るツールとしては OpenDNSSEC 一択か? DNSSEC-Tools は更新頻度も高く今後の活動に期待ツール開発元機能 OpenDNSSEC.se, Cira, Nominet 鍵生成および更新署名の自動化など dnssec-keygen dnssec-signzone ldns-keygen ldns-signzone pdnssec-keygen pdnssec-signzone ISC 鍵生成署名 (BIND 付属 ) NLnet Labs 鍵生成署名 (ldns 付属 ) Roy Arends 鍵生成署名 (DNSSEC perltools 付属 ) Secure64 DNS Signer Secure64 鍵生成および更新署名の自動化 (Secure64 製 OS 上で動作 ) Zonesigner Sparta, Inc. 鍵生成署名 (DNSSEC-Tools 付属 ) Rollerd Sparta, Inc. 鍵更新再署名の自動化 (DNSSEC-Tools 付属 ) jdnssec-keygen jdnssec-signzone Verisign Labs 鍵生成署名 (jdnssec-tools) 5

6 運用ツール (2/2) DNSSEC 検証結果の可視化ツールが増えてきている可視化ツールはエラー要因の特定に非常に有効サーバログ dig や drill だけではトラブルシュートは難しい特に DNSViz は秀逸 Web アプリケーションであり問題箇所の特定が容易 DNSSEC-Nodes lookup は UI が分かりにくくまたスタンドアロンアプリケーションであることがネックツール開発元機能 dnscheck.se DNSSEC 検証の他委任の正当性などのチェック validns Anton Berezin 署名済ゾーンファイルのチェック Donuts Sparta, Inc. 署名済ゾーンファイルのチェック (DNSSEC-Tools 付属 ) Nagios Plugin The Measurement Factory RRSIG の有効期限のチェック SecSpider UCLA DNSSEC 検証接続性 Path MTU などのチェック jdnssec-verifyzone Verisign Labs 署名済ゾーンファイルのチェック (jdnssec-tools 付属 ) DNSViz Sandia National Laboratories DNSSEC 検証結果の可視化 DNSSEC-Nodes Sparta, Inc. DNSSEC 検証結果の可視化 DNSSEC-Check Sparta, Inc. キャッシュサーバの DNSSEC 対応状況チェック logwatch Sparta, Inc. DNSSEC 関連メッセージの出力 (logwatch にパッチを適用 ) lookup Sparta, Inc. DNSSEC 検証結果の可視化 6

7 DNSSEC 検証ライブラリ DNSSEC 関連の開発ライブラリは充実しているメジャーな言語は概ねカバーされている Perl Python Ruby Java C ツール開発元機能 Net::DNS::SEC CPAN Net::DNSにDNSSEC 関連機能を追加した Perlライブラリ libunbound NLnet Labs DNSSEC 検証機能を含む名前解決関連の C 言語ライブラリ DNSPython Nominum DNSSEC 検証機能を含む名前解決関連の Pythonライブラリ libval libsres Sparta, INC. C 言語用の DNSSEC 検証ライブラリ Dnsruby::Dnssec Nominet DNSSEC 検証機能を含む名前解決関連の Rubyライブラリ (DNSSEC Roadmap 未掲載 ) DNSJava (DNSSEC 対応版 ) Nominum DNSSEC 検証機能を含む名前解決関連の Java ライブラリ (DNSSEC Roadmap 未掲載 ) 7

8 まとめ DNS サーバ新規参入サーバは少ない既存サーバとの差異化が難しく開発のモチベーションが湧かない? 運用ツール鍵管理や署名の自動化ツールにおいてフリーで利用できるものはまだまだ少ない OpenDNSSEC DNSSEC-Tools 可視化ツールが増えてきている検証失敗 (Bogus) の要因特定に役立つと思われる個人的には DNSViz がオススメ開発者向けライブラリメジャーな言語のライブラリは一通り揃っている Perl Python Ruby Java C 実際に DNS サーバを立てなくとも DNSSEC 検証用のテストツールなどは比較的容易に組めると思われる 8

9 DNSSEC 普及状況調査 9

10 はじめに DNSSEC の真の普及とは? ( 個人的意見 ) 1. 多くのユーザが利用している有名ドメイン名が DNSSEC 対応すること Google Facebook Twitter など 2. 多くのユーザが利用しているキャッシュサーバが DNSSEC 検証機能を ON にすること現在の普及状況を調査上記の 1 にフォーカスし有名ドメイン名の DNSSEC 対応状況を調査しどの程度真の普及が進んでいるかを明らかにする 2 に関してはデータ収集などが困難であるため調査は未実施 10

11 調査概要データ収集 Alexa が公開している人気サイト 100 万に対して名前解決を行いその結果を収集データ分析 DNSSEC 対応状況の分析署名付ドメイン名数および署名付ドメイン名の DNSSEC 検証結果の調査署名付ドメイン名の TLD 分布 DNSSEC 検証結果の調査 DNSSEC 検証 ON/OFF でのキャッシュサーバのリソース消費量の推定検証が発生する時間間隔の推定 11

Alexa Top100 万リスト Alexa Top 100 万リストデータ置き場 http://s3.amazonaws.com/alexa-static/top-1m.csv.

12 Alexa Top100 万リスト Alexa Top 100 万リストデータ置き場データ形式 < ランキング >,< ドメイン名 > の CSV 形式ファイル注 : 一部 IP アドレスや / が含まれるデータが存在データ取得日 2013/5/19 時点のリストを利用 1. Top Sites タブをクリック 2. Free Download からデータを取得 12

13 Alexa Top 100 万リストの名前解決結果データ収集方法 $ dig +dnssec +trace ドメイン名 tcpdump で DNS パケットを収集名前解決結果 100 万ドメイン名のうち約 98.5 万の応答を取得うち約 96 万が NoError 応答応答が取得できなかった 1.5 万のドメイン名について権威サーバまで到達できなかったなど応答コード応答数 NoError 959,252 NXDomain 18,113 Refused 4,033 FormErr 2,093 ServFail 1,361 不明 15,148 NoError 応答の詳細分析を実施合計 1,000,000 13

14 DNSSEC 対応ドメイン名調査署名付応答が返るドメイン名の抽出約 96 万の応答パケットを分析し応答に A レコードおよび RRSIG レコードが含まれるドメイン名を抽出全ドメイン名 (96 万 ) に対する署名付ドメイン名の割合を計算抽出した署名付ドメイン名を DNSSEC 検証 ON のキャッシュサーバに問い合わせ検証結果を集計 Secure Insecure Bogus ごとに集計 14

15 DNSSEC 対応ドメイン名数の調査結果署名済ドメイン名数全ドメイン名の約 0.8% と署名済ドメイン名は少ない署名済ドメイン名数全ドメイン名数署名率 7, , % 署名済ドメイン名の DNSSEC 検証結果署名済ドメイン全てが Secure ではなく 1/4 程度は Insecure Bogus なドメイン名も僅かに存在思ったよりも少ない印象ドメイン名数検証結果の割合対署名済ドメイン名数対全ドメイン名数 Secure 5, % 0.61% Insecure 1, % 0.19% Bogus % 0.00% 15

16 人気ランクの高い DNSSEC 対応ドメイン名最もランクの高いドメイン名は paypal.com PayPal での決済は安心安全 Alexa ランク上位の署名付ドメイン名の中には有名サービスは多く含まれていない DNSSEC の真の普及は進んでいないように思われる Alexaランクドメイン名検証結果 53 paypal.com. Secure 174 mozilla.org. Secure 191 comcast.net. Secure 340 domaintools.com. Insecure 369 nih.gov. Secure 767 ca.gov. Secure 858 irs.gov. Secure 1,076 comcast.com. Secure 1,124 state.gov. Secure 1,203 weather.gov. Secure Alexaランクドメイン名検証結果 1,596 noaa.gov. Secure 1,651 ed.gov. Secure 1,666 centrum.cz. Secure 1,935 Insecure 1,993 directtrack.com. Insecure 2,422 berkeley.edu. Secure 2,476 cdc.gov. Secure 2,479 whitehouse.gov. Secure 2,486 fbi.gov. Secure 2,627 iheart.com. Insecure 16

17 Bogus ドメイン名について Bogus となった原因を DNSViz を用いて調査調査結果と異なるケースが存在 spilxl.dk akvo.org についてはキャッシュサーバのキャッシュが空の状態で検証を行うと Bogus root dk org のキャッシュが有る状態で検証すると Insecure dotarai.co.th は任意の検証タイミングで Bogus ドメイン名調査結果 DNSViz 結果原因 spilxl.dk. Bogus Insecure 信頼の連鎖切れ barneysfarm.com. Bogus Bogus 署名の有効期間超過 challenge.gov. Bogus Bogus DNSKEY と上位 DS が異なる akvo.org. Bogus Insecure 信頼の連鎖切れ vsevjednom.cz. Bogus Bogus 署名の有効期間超過 dotarai.co.th. Bogus Secure 署名の有効期間超過? aqarategypt.com. Bogus Bogus DNSKEY と上位 DS が異なる mandataire-voiture-neuve.fr. Bogus Bogus 署名の有効期間超過 macrowebs.com. Bogus Bogus DNSKEY と上位 DS が異なる trt1.jus.br. Bogus Bogus DNSKEY と上位 DS が異なる 17

18 DNSSEC 対応ドメイン名の TLD ごとの普及状況調査 DNSSEC 対応ドメイン名を TLD 別に集計し TLD ごとの普及状況を調査 Alexa リストに含まれる全ドメイン名の TLD 分布ユニーク TLD 数は 85 com が 100 万のうちの半数以上を占め net ru org de と続く TLD Alexaリスト出現数 com. 528,239 net. 56,119 ru. 47,858 org. 39,294 de. 22,829 uk. 18,340 cn. 18,275 br. 17,713 jp. 17,039 pl. 13,322 18

19 DNSSEC 対応ドメイン名の TLD ごとの普及状況署名付ドメイン名数は com が最も大きいが母数 (Alexa リスト出現数 ) が大きいため署名率は低い Secure 率も高いとは言えない cz nl gov は母数に対して署名数が比較的大きくまた Secure 率も高いチェコオランダは DNSSEC 先進国と言える se は Insecure 率が Secure 率を上回っており cz や nl と比較すると普及は進んでいないように思われる思ったよりも Secure 率が低い印象 TLD Alexa リスト出現数署名付ドメイン名数 Secure 数 Insecure 数 Bogus 数署名率 Secure 率 Insecure 率 Bogus 率 com. 528,239 1,733 1, % 59.95% 39.87% 0.17% cz. 4,696 1,469 1, % 95.10% 4.83% 0.07% nl. 8,339 1,420 1, % 96.90% 3.10% 0.00% se. 3, % 37.32% 62.68% 0.00% br. 17, % 99.36% 0.48% 0.16% gov % 94.62% 5.06% 0.32% net. 56, % 66.51% 33.49% 0.00% org. 39, % 63.03% 36.36% 0.61% eu. 4, % 77.27% 22.73% 0.00% fr. 9, % 91.92% 7.07% 1.01% be. 2, % 85.00% 15.00% 0.00% edu. 2, % 87.50% 12.50% 0.00% de. 22, % 82.00% 18.00% 0.00% nu % 0.00% % 0.00% rs % 0.00% % 0.00% 19

20 DNSSEC 検証回数の推定現在の普及状況における DNSSEC 検証 ON の場合のキャッシュサーバの検証回数を推定ユーザ数を 1 10,000,000 で変化させた場合の DNSSEC 検証回数を推定 NW 規模ごとの検証回数の推定前提条件 Alexa リストに掲載されたドメイン名のみの検証回数を推定する検証回数をカウントする対象リソースレコードは A レコードのみ A レコードとその RRSIG レコードの TTL は同一推定方法検証回数 = あるドメイン名の応答がキャッシュされていないときに問い合わせを受けた回数ドメイン名ごとの問い合わせ頻度 TTL を考慮して検証回数を推定メジャードメイン名はキャッシュが切れてすぐに問い合わせがある可能性が高く検証回数は多くなるマイナードメイン名はキャッシュが切れてもすぐに問い合わせがあるとは限らず検証回数は少なくなる TTL が短いドメイン名ほど検証回数は多くなる TTL が長いドメイン名ほど検証回数は少なくなる詳細な推定方法は参考スライドを参照 20

21 DNSSEC 検証回数の推定結果現状では DNSSEC 検証を ON にした場合においても検証によるキャッシュサーバのリソース消費量の極端な増加は見られないと思われる ISP など 100 万ユーザ規模 ( 大規模 NW) では 1 秒間あたり 1 回程度検証が発生社内 NW など中小規模の NW では数分数 10 分に 1 回程度検証が発生ユーザ数 (NW 規模 ) 推定検証回数 / 秒推定検証間隔 ( 秒 )/1 回 , , , ,000, ,000,

22 まとめ Alexa Top 100 万リストの DNSSEC 対応状況の調査を実施最も人気ある DNSSEC 対応ドメイン名は paypal.com 続いて mozilla.org が続く TLD 別に見るとチェコオランダのドメイン名は普及が進んでいるただし人気サービスの DNSSEC 対応はまだまだ進んでいないように思われる DNSSEC 検証 ON における検証回数を実施大規模 NW においても秒間あたりの検証回数は 1 回程度と多くはない現状では検証を ON にすることによるリソース消費量は急激に増加することはないと思われる 22

23 参考 : 検証回数の推定方法 (1/2) ドメイン名へのクエリ数が平均 λ 回 / 秒のとき t 秒の間に k 回問い合わせを受ける確率は以下で求めることができる ( ) k P(k) = λt k! 検証が発生する確率 = 問い合わせ時にキャッシュされていない = TTL 秒間に 0 回問い合わせを受ける確率であるため t = TTL k=0 となる P(0) = e λ TTL e λt 上記確率よりあるドメイン名 d の平均クエリ数 / 秒を λ d TTL を TTL d とすると平均検証回数 / 秒 C は以下となる C(d) = λ d e λ d TTL d よって全てのドメイン名について平均検証回数 / 秒を算出し総和を取ることで検証回数を求めることができる C total = d D C(d) 23

24 参考 : 検証回数の推定方法 (2/2) ドメイン名ごと平均クエリ数 / 秒の算出方法ドメイン名へのクエリ数は人気ランクに反比例する * 性質を利用人気ランク n 位のドメイン名へのクエリ数は 1 位のクエリ数の 1/n となる人気ランク 1 位のドメイン名へのクエリ数は 1 人 1 日 50 回かつ 1/10 のユーザが問い合わせると仮定ユーザ数 m 人人気ランク 1 位の 1 日のクエリ数は 50 (m 10) 上記からユーザ数 m の NW における人気ランク n 位のドメイン名 d への秒間平均クエリ数 λ d は以下となる λ d = 50 ( m 10) n *J. Jung, E. Sit, H. Balakrishnan, R. Morris, DNS performance and the effectiveness of caching, IEEE/ACM Transactions on Networking (TON), v.10 n.5, p , October

DNSSEC最新動向

DNSSEC最新動向 DNSSEC 最新動向とインターネット検閲の問題の話 NTT セキュアプラットフォーム研究所佐藤一道 2012/9/1 1 DNSSEC 最新動向失敗事例 ( 少し ) 普及状況その他ツールお題目論文紹介 The Collateral Damage of Internet Censorship by DNS Injection 2 DNSSEC 最新動向 3 Comcast DNS News

DNSSEC ソフトウェアアップデート + DNSSEC 普及状況調査 NTT セキュアプラットフォーム研究所 佐藤一道 Copyright(c) 2013 NTT Corporation 1

DNSSEC ソフトウェアアップデート + DNSSEC 普及状況調査 NTT セキュアプラットフォーム研究所佐藤一道 Copyright(c) 2013 NTT Corporation 1