Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
DNSSEC基礎とRoute53運用
Search
Toru_Kubota
February 23, 2023
Technology
0
1.2k
DNSSEC基礎とRoute53運用
Toru_Kubota
February 23, 2023
Tweet
Share
More Decks by Toru_Kubota
See All by Toru_Kubota
本当のAWS基礎
toru_kubota
1
600
TransitGatewayの基礎
toru_kubota
0
270
プリザンターを活用したデータセンター運用管理
toru_kubota
0
65
Kubernetes超基礎と認定資格について
toru_kubota
0
520
資格を60個以上取得してみて。中長期的に役にたった場面
toru_kubota
0
820
AWS ALL Certifications Engineersになるには
toru_kubota
0
860
インフラ技術基礎勉強会 開催概要
toru_kubota
0
2k
Kubernetes_EKSに入門してみる
toru_kubota
0
440
Well-Architectedを再度学習して内容をまとめてみる②/well-architected2
toru_kubota
1
630
Other Decks in Technology
See All in Technology
Oracle Base Database Service 技術詳細
oracle4engineer
PRO
4
37k
ServiceNow Knowledge 24の歩き方 EYストラテジー・アンド・コンサルティング
manarobot
0
220
実例で紹介するRAG導入時の知見と精度向上の勘所
yamahiro
4
1.3k
Improve Your Development Workflow with Gemini Code Assist
meteatamel
0
120
Cracking the KubeCon CfP
inductor
2
270
Amplify 🩷 Bedrock 〜生成AI入門〜
minorun365
PRO
7
330
MLOpsの「壁」を乗り越える、LINEヤフーの Data Quality as Code
lycorptech_jp
PRO
8
610
データベース02: データベースの概念
trycycle
0
180
LLM開発・活用の舞台裏@2024.04.25
yushin_n
3
1.1k
「スニダン」開発組織の構造に込めた意図 ~組織作りはパッションや政治ではない!~
rinchsan
4
600
Cloud Service Mesh に触れ合う
phaya72
1
120
一生覚えておきたい「システム開発=コミュニケーション」〜初めての実務案件振り返りLT〜
maimyyym
2
250
Featured
See All Featured
Product Roadmaps are Hard
iamctodd
45
9.7k
Fashionably flexible responsive web design (full day workshop)
malarkey
398
65k
Rebuilding a faster, lazier Slack
samanthasiow
74
8.2k
Writing Fast Ruby
sferik
622
60k
In The Pink: A Labor of Love
frogandcode
138
21k
How to train your dragon (web standard)
notwaldorf
74
5.2k
Reflections from 52 weeks, 52 projects
jeffersonlam
345
19k
ReactJS: Keep Simple. Everything can be a component!
pedronauck
660
120k
Refactoring Trust on Your Teams (GOTO; Chicago 2020)
rmw
26
2.3k
Code Reviewing Like a Champion
maltzj
515
39k
Building Effective Engineering Teams - LeadDev
addyosmani
31
1.9k
A better future with KSS
kneath
231
16k
Transcript
DNSSEC基礎とRoute53運用 インフラ技術基礎勉強会 #1 2023/02/23 久保田 亨
ネットワークスペシャリスト/情報処理安全確保支援士 情報セキュリティスペシャリスト/応用情報技術者 Oracle Master Gold/LPIC Level3/MSCA/CCNA/ SJC-P(Java)/Python3認定試験 電気通信主任技術者/工事担任者AI/DD総合種 第2種電気工事士/第二級陸上特殊無線技士 など
会社:SI企業 職業:インフラエンジニア 氏名:久保田 亨 自己紹介
DNSと DNSSECの 基礎 DNSSEC 仕組み Route53 運用 本日のお話の流れ
DNSとDNSSECの基礎 ①www.example.com PC キャッシュ DNS 権威 DNS root 権威 DNS
権威 DNS .com example.com Aレコード www 1.1.1.1 1.1.1.1 www.example.com ② ③ ④ ⑤ Aレコード www 1.1.1.1 ⑥ www.example.comのサイトを見たい時の流れ
DNSとDNSSECの基礎 ①www.example.com PC キャッシュ DNS 権威 DNS root 権威 DNS
権威 DNS .com example.com Aレコード www 1.1.1.1 1.1.1.1 www.example.com ② Aレコード www 2.2.2.2 2.2.2.2 偽サイト 悪い人がレコード偽造
DNSとDNSSECの基礎 ①www.example.com PC キャッシュ DNS 権威 DNS root 権威 DNS
権威 DNS .com example.com Aレコード www 1.1.1.1 1.1.1.1 www.example.com Aレコード www 1.1.1.1 ② www.example.comのサイトを見たい 公開鍵 電子署名 秘密鍵 電子署名 電子署名でレコードの正当性を保証
公開鍵 / 秘密鍵 / 証明書 。。。。 このあたりはインフラをやり始めた時は良く分かっていませんでした。 このあたりも DNSSECで実用的な例を見ながら 再学習してみましょう!
DNSと DNSSECの 基礎 DNSSEC 仕組み Route53 運用 本日のお話の流れ
電子署名 (RRSIG) ハッシュ関数 A = 1.1.1.1 www.example.com PC キャッシュ DNS
権威 DNS (ZSKの) 公開鍵 123456 秘密鍵 (ZSK) 電子署名 (RRSIG) A = 1.1.1.1 電子署名 (RRSIG) 123456 A = 1.1.1.1 123456 = 一致 権威DNSサーバ ①レコードに電子証明 キャッシュDNSサーバ ②レコードの電子証明の検証 (ZSKの) 公開鍵 ①レコードに電子署名 ②レコードの電子署名の検証 ハッシュ関数 DNSSECの仕組み(レコード署名)
電子署名 (RRSIG) ハッシュ関数 A = 1.1.1.1 www.example.com PC キャッシュ DNS
権威 DNS (ZSKの) 公開鍵 123456 秘密鍵 (ZSK) 電子署名 (RRSIG) A = 1.1.1.1 電子署名 (RRSIG) 123456 A = 1.1.1.1 123456 = 一致 権威DNSサーバ ①レコードに電子証明 キャッシュDNSサーバ ②レコードの電子証明の検証 (ZSKの) 公開鍵 ①レコードに電子署名 ②レコードの電子署名の検証 ハッシュ関数 DNSSECの仕組み(レコード署名)
秘密鍵 ZSK ZSK:ゾーンに署名する秘密鍵 KSK:公開鍵を署名する秘密鍵 DS:DNSKEYのハッシュ値 DS 秘密鍵 KSK (ZSKの) 公開鍵
(KSKの) 公開鍵 署名 ハッシュ関数 DS 権威DNSサーバ(example.com) 権威DNSサーバ(com) 親のDNSサーバにDSを登録する ことで公開鍵の正当性を保証する レコード 署名 DNSSECの仕組み(公開鍵の検証) この箇所の 正当性を保証
秘密鍵 ZSK ZSK:ゾーンに署名する秘密鍵 KSK:公開鍵を署名する秘密鍵 DS:DNSKEYのハッシュ値 DS 秘密鍵 KSK (ZSKの) 公開鍵
(KSKの) 公開鍵 署名 ハッシュ関数 DS 権威DNSサーバ(example.com) 権威DNSサーバ(com) 親のDNSサーバにDSを登録する ことで公開鍵の正当性を保証する レコード 署名 DNSSECの仕組み(公開鍵の検証) この箇所の 正当性を保証 ①KSKの公開鍵は保証される ②KSKの秘密鍵は保証される ③ZSKの公開鍵は保証される
DNSと DNSSECの 基礎 DNSSEC 仕組み Route53 運用 本日のお話の流れ
Route53とは Amazon Route 53 DNSのフルマネージドサービスです。 1.ドメイン名の登録 2.ドメインのリソースへのルーティング 3.リソースの正常性チェック
Route53でのDNSSEC導入 ◆導入時 ① KMSを使用してKSK(キー署名キー)の作成 ② ゾーンのDNSSEC署名有効化 ③ 信頼チェーンを確立(親ゾーンへのDSレコード登録) ※事前にレジストラ側がDNSSECに対応しているかどうか確認する必要があります
秘密鍵 ZSK DS 秘密鍵 KSK (ZSKの) 公開鍵 (KSKの) 公開鍵 署名
ハッシュ関数 権威DNSサーバ(example.com) レコード 署名 Route53でのDNSSEC運用 AWS ユーザー ◆運用時 ・ ZSKの鍵管理はAWS側でやってくれる ・ KSKの管理はユーザ側で必要 ※鍵のローテが必要な場合 ◆費用 ・ DNSSECを有効にすることでの費用追加はなし ・ KMSの利用料金が追加
・ DNSとDNSSECの基礎 ・ DNSSECの仕組み(レコード署名検証・公開鍵検証) ・ 導入はレジストラ側がDNSSECに対応している必要があります ・ Route53を使用すると導入が楽 / 運用が自動
or 楽です! まとめ
ご清聴頂きありがとうございます