失効したルート鍵を持つ DNSSEC 検証サーバの挙動調査と対策についての一考察

概要

論文の詳細を見る
DNSSEC は DNS のデータの完全性を確保するための仕組みであり、ルート含むドメインツリーの特定の点 (トラストアンカー) からその下位ドメインの鍵を連鎖的に署名することで、データの正当性を保証する。このとき、正当性の検証のために、トラストアンカーの公開鍵を DNS 帯域外の方法により検証するクライアント側に用意する必要がある。安全のため鍵は定期的に入れ替える必要があり、そのため、クライアントが既存の公開鍵の情報を用いてオンラインで新しい公開鍵を取得する方法について規格が定められている。しかし、機器が例えば長期間店頭在庫として保存されていた場合など、長期間オフラインになっていたとき、新しい鍵への交換ができなくなってしまう。このとき、すべての署名されたレコードは検証できなくなるためキャッシュもできず、DNS のトラフィックが爆発することが予想される。本研究では、そのような正当な鍵を所持できなくなった検証サーバの動作を調査し、またその際の解決手法について提案してテストベッドでの検証をおこなった。
2013-09-20