B2-4 DNS でいま起きていること

JPAAWG 3rd GM
DNSでいま起きていること
JPCERTコーディネーションセンター
インシデントレスポンスグループ
中井尚子

Copyright ©2020 JPCERT/CC All rights reserved.
JPCERT/CCとIRの紹介
JPCERT/CCとは
JaPan Computer Emergency Response Team Coordination Center
— コンピューターセキュリティインシデントへの対応、国内外にセンサーをおいた
インターネット定点観測、ソフトウェアや情報システム・制御システム機器等の
脆弱性への対応などを通じ、セキュリティ向上を推進
— インシデント対応をはじめとする国際連携が必要なオペレーションや、情報連携に
関する国内の窓口となるCSIRT（窓口CSIRT）
CSIRT: Computer Security Incident Response Team
※各国に同様の窓口となるCSIRTが存在する
(米国のUS-CERT、CERT/CC、中国のCNCERT/CC, 韓国のKrCERT/CC 等)
— 経済産業省からの委託事業として、サイバー攻撃等国際連携対応調整事業を実施
インシデントレスポンスグループ（IR）とは
— 国内・国外のセキュリティインシデント報告の受領・分析
— 内容を理解し技術的な視点でコーディネーション
1

DNSとは
Domain Name System（DNS）
名前解決をする仕組みでインターネット利用者をアクセ
スしたいWebサーバーや他サービスに導く
2

いろいろと話題になるDNS
最近、DNSが話題になる（問題視される）
3
プライバシー侵害
• DNSクエリ・応答がプレーンテキストで送信
攻撃のプラットフォーム化
• ドメイン名やルート改ざんによる不正な名前解決
• 不正サイトへの誘導の手段

現れた技術
DNSSEC
QNAME
minimization
DoH/DoT
4

それぞれの役割範囲
5
(.) ルートサーバー
jp.
jpcert.or.jp.
JSAC
チェック
jsac.jpcert.or.jp
DoH/DoT
QNAME
minimization DNSSEC
キャッシュサーバー
(フルサービスリゾルバー)
インターネット利用
者ブラウザー
(スタブリゾルバー)
Q jpcert.or.jp. NSは？

それぞれの役割
6
• DoH/DoT
• QNAME minimization
プライバシー保護
（機密性）
• DNSSEC完全性の保証

DNSSECとは
Domain Name System Security Extensionsの略称
—従来のDNSにセキュリティの機能を追加した拡張版
DNSSECによって、問い合せ側で応答パケットが改ざん
されていない事が検証でき完全性が保証される
7

DNSSECの仕組み
DNSSECを有効にするには次の2点が必要
— 署名（Signing）
— 検証（Validation）
署名したDNS応答パケットをフルサービスリゾルバーが
検証をする
DNSSECは署名・検証の実装、実施が出来て有効となる
仕組み
8

署名（Signing）
署名の仕組みは、公開鍵暗号方式と電子署名が使われ、
応答パケットの完全性検証を可能にする
上位から信頼の連鎖によって公開鍵の正当性を担保する
9
レジストラ
TLDレジストリ（JPRS）
ルートDNS server
DS
jpcert.or.jp zsk -> ksk ->
DS
DS
zsk -> ksk -> DS
ルートDNSの公開鍵で署名
ドメイン名管理者

検証はフルサービスリゾルバーやPublic DNSで実施
ネームサーバーからの応答パケットの完全性を検証しスタ
ブリゾルバーに渡す
検証（Validation）
10
ドメイン名管理者
レジストラ
TLDレジストリ
（JPRS）
ルートDNS server
jpcert.or.jp
インターネット利用
者(スタブリゾルバー)
jpcert.or.jp を
閲覧したい
電子署名を検証
JPCERT/CC Webサーバー
全ルートDNSの公開鍵
フルサービスリゾルバー
Public DNS

ハイプロファイルドメイン
DNSSEC
—国内政府機関関連ドメインにおいては、以下の省庁ドメイ
ンでDNSSECが設定されていること確認
—総務省・法務省・外務省・財務省・厚生労働省
11

Copyright ©2020 JPCERT/CC All rights reserved.12
各省庁、その他ドメイン DNSSEC
内閣府 cao.go.jp ×
復興庁 reconstruction.go.jp ×
総務省 soumu.go.jp 〇
法務省 moj.go.jp 〇
外務省 mofa.go.jp 〇
財務省 mof.go.jp 〇
文部科学省 mext.go.jp ×
厚生労働省 mhlw.go.jp 〇
農林水産省 maff.go.jp ×
経済産業省 meti.go.jp ×
国土交通省 mlit.go.jp ×
環境省 env.go.jp ×
防衛省 mod.go.jp ×
2020年11月時点

DNSSECによって変わる今後のDNSの在り方
13

今後のDNS
DNSSECという技術によってDNSの信頼性や完全性は担
保される
—信頼性や完全性の検証が可能となることで、DNSを認証の
手段や他の機能に活かされる
CAA（Certification Authority Authorization）
DANE（DNS-Based Authentication of Named Entities）
など
14

Copyright ©2020 JPCERT/CC All rights reserved.15
お問い合わせ、インシデント対応のご依頼は
JPCERTコーディネーションセンター
— Email：ew-info@jpcert.or.jp
— https://www.jpcert.or.jp/
インシデント報告
— Email：info@jpcert.or.jp
— https://www.jpcert.or.jp/form/
制御システムインシデントの報告
— Email：icsr-ir@jpcert.or.jp
— https://www.jpcert.or.jp/ics/ics-form.html
脆弱性に関するお問い合わせ
— Email：vultures@jpcert.or.jp
— https://jvn.jp/

B2-4 DNS でいま起きていること

More Related Content

What's hot

More from JPAAWG (Japan Anti-Abuse Working Group)

B2-4 DNS でいま起きていること