ルートゾーン KSK ロールオーバー計画 設計チームの草案 - 2015 年 8 月 4 日更新

ルートゾーン KSK ロールオーバー計画
設計チームの草案 - 2015 年 8 月 4 日更新
【外部リンク】
https://www.icann.org/ja/system/files/files/root-zone-ksk-rollover-plan-draft-04aug15-ja.pdf
2 目次
1 概要......................................................................................................................................... 1
2 目次......................................................................................................................................... 1
3 要約......................................................................................................................................... 4
 1
 本草案は、IANA 機能契約によって現在規定されている現行のルートゾーン管理構造と、NTIA と
Verisign との間で締結された共同契約に従って開発されました。設計チームと RZM パートナーは、現
行の IANA 受託移行の取り組みが KSK ロールオーバー計画の内容や今後のあらゆるプロセスへの NTIA
の関与に影響する可能性があることを認識しています。ただし、技術的な詳細および検討事項は、移
行作業およびその最終結果に影響を与えるものではありません。 2
 RFC 4033、RFC 4034、および RFC 4035 を参照
2
3.1 DNS の用語 .................................................................................................................... 4
3.2 セキュリティ関連のその他の用語............................................................................. 7
3.3 ネットワーキング関連のその他の用語..................................................................... 7
3.4 提言の要旨..................................................................................................................... 8
3.5 対象読者......................................................................................................................... 9
3.6 文書のスコープ........................................................................................................... 10
4 これまでの主な経緯........................................................................................................... 10
4.1 ルートゾーンへの DNSSEC の展開........................................................................... 10
4.2 ルートゾーン KSK ロールオーバーのパブリックコメント.................................. 11
4.3 2013 年のルートゾーン KSK ロールオーバーに関する予備議論......................... 11
4.4 ルートゾーンにおける DNSSEC 鍵ロールオーバーに対する SSAC の勧告 ........ 12
4.5 ICANN によるルートゾーン KSK ロールオーバー設計チームの招集 .................. 12
5 KSK ロールオーバーの概要............................................................................................... 12
6 設計チームのアプローチ................................................................................................... 13
6.1 運用に関する検討事項............................................................................................... 14
6.2 プロトコルに関する検討事項................................................................................... 15
6.3 ルートゾーン KSK 管理に対する影響...................................................................... 19
6.4 暗号に関する検討事項............................................................................................... 20
6.5 調整とコミュニケーション....................................................................................... 22
7 認証リゾルバに対する影響............................................................................................... 26
7.1 パケットサイズに関する検討事項........................................................................... 26
7.2 DNSSEC 認証の動作.................................................................................................... 30
8 テスト................................................................................................................................... 32
8.1 影響のテスト............................................................................................................... 32
3
8.2 自己テストの設備....................................................................................................... 33
8.3 KSK/ZSK メンテナのソフトウェアとプロセスの変更互換性テスト................... 33
9 実施....................................................................................................................................... 34
9.1 次期 KSK の公開.......................................................................................................... 35
9.2 次期 KSK へのロールオーバー.................................................................................. 36
9.3 現行 KSK の無効化...................................................................................................... 36
9.4 レスポンスパケットサイズへの影響....................................................................... 36
9.5 ルートサーバーごとの展開....................................................................................... 39
10 ロールバック....................................................................................................................... 40
11 時期....................................................................................................................................... 41
12 リスク分析........................................................................................................................... 42
12.1 準備不足によるリスク............................................................................................... 42
12.2 自動トラストアンカーのメカニズムが機能しない、または不適切である....... 43
12.3 現行 KSK の削除による検証の失敗.......................................................................... 44
12.4 次期 KSK の追加により DNS メッセージサイズが制限を超える......................... 44
12.5 運用上のエラーの発生............................................................................................... 45
13 設計チームのメンバーリスト........................................................................................... 45
13.1 コミュニティの有志................................................................................................... 45
13.2 ルートゾーン管理パートナー................................................................................... 46
14 参考資料............................................................................................................................... 46
15 付録: チャネルパートナー................................................................................................. 48
15.1 ソフトウェア作成者................................................................................................... 48
15.2 システムインテグレータ........................................................................................... 48
15.3 パブリックリゾルバ運用者....................................................................................... 49
4
3 要約
IANA 機能運用者である ICANN は、ルートゾーンメンテナである Verisign およびルー
トゾーン管理者である米国商務省電気通信情報局 (NTIA) (これらをまとめて、ルート
ゾーン管理 (RZM) パートナーとも呼びます) と協力して、ルートゾーン鍵署名鍵
(KSK) ロールオーバー計画の策定を進めてきました。
ルートゾーン KSK は、ルートゾーン DNSKEY リソースレコードセットを DNSSEC に
従って署名する際に使用されます。そのセットには、ルートゾーン内の他のすべて
のレコードセット (RRset) の署名に使用されるゾーン署名鍵 (ZSK) が含まれます。ル
ートゾーン KSK ロールオーバーにあたっては、(ルートゾーンが DNSSEC に従って最
初に署名された) 2010 年以降に使用されてきた鍵の変更が参照されます。鍵の変更
とはすなわち、新しい暗号シークレットコンポーネントを生成し、新しいパブリッ
クコンポーネントを配布することを意味します。この新しいパブリックコンポーネ
ントを適切に配布することが、鍵のロールオーバーにおける最も重要な作業です。
2014 年 12 月、ICANN はコミュニティから有志を募り、RZM パートナーの参加を得
て、本書に記載するルートゾーン KSK ロールオーバー計画を策定する設計チームを
編成しました。策定にあたっては、1 回目のルートゾーン KSK ロールオーバーを実施
するための詳細実装計画を作成する際に RZM パートナーがガイダンスとして使用す
る、技術面および運用面での推奨事項の包括的なセットを成果物として作成すること
としました。本書は、それらの成果物を提供するにあたっての草案としてレビューさ
れるべきものです。