Analysis and Treatment of DNSSEC Validator which Own Expired Root Zone Key

Tomohiro Ishihara, Hiroaki Hazeyama, Yuji Sekiya

DNSSEC は DNS のデータの完全性を確保するための仕組みであり、ルート含むドメインツリーの特定の点 (トラストアンカー) からその下位ドメインの鍵を連鎖的に署名することで、データの正当性を保証する。このとき、正当性の検証のために、トラストアンカーの公開鍵を DNS 帯域外の方法により検証するクライアント側に用意する必要がある。安全のため鍵は定期的に入れ替える必要があり、そのため、クライアントが既存の公開鍵の情報を用いてオンラインで新しい公開鍵を取得する方法について規格が定められている。しかし、機器が例えば長期間店頭在庫として保存されていた場合など、長期間オフラインになっていたとき、新しい鍵への交換ができなくなってしまう。このとき、すべての署名されたレコードは検証できなくなるためキャッシュもできず、DNS のトラフィックが爆発することが予想される。本研究では、そのような正当な鍵を所持できなくなった検証サーバの動作を調査し、またその際の解決手法について提案してテストベッドでの検証をおこなった。

Analysis and Treatment of DNSSEC Validator which Own Expired Root Zone Key

Bibliographic Information

Search this article

Description

Journal

Related Projects

Keywords

Details 詳細情報について

Export

Report a problem