DNSSEC基礎とRoute53運用

Transcript

1. DNSSEC基礎とRoute53運用 インフラ技術基礎勉強会 #1 2023/02/23 久保田 亨
2. ネットワークスペシャリスト/情報処理安全確保支援士 情報セキュリティスペシャリスト/応用情報技術者 Oracle Master Gold/LPIC Level3/MSCA/CCNA/ SJC-P(Java)/Python3認定試験 電気通信主任技術者/工事担任者AI/DD総合種 第2種電気工事士/第二級陸上特殊無線技士 など 会社：SI企業 職業：インフラエンジニア 氏名：久保田 亨 自己紹介
3. DNSと DNSSECの 基礎 DNSSEC 仕組み Route53 運用 本日のお話の流れ
4. DNSとDNSSECの基礎 ①www.example.com PC キャッシュ DNS 権威 DNS root 権威 DNS 権威 DNS .com example.com Aレコード www 1.1.1.1 1.1.1.1 www.example.com ② ③ ④ ⑤ Aレコード www 1.1.1.1 ⑥ www.example.comのサイトを見たい時の流れ
5. DNSとDNSSECの基礎 ①www.example.com PC キャッシュ DNS 権威 DNS root 権威 DNS 権威 DNS .com example.com Aレコード www 1.1.1.1 1.1.1.1 www.example.com ② Aレコード www 2.2.2.2 2.2.2.2 偽サイト 悪い人がレコード偽造
6. DNSとDNSSECの基礎 ①www.example.com PC キャッシュ DNS 権威 DNS root 権威 DNS 権威 DNS .com example.com Aレコード www 1.1.1.1 1.1.1.1 www.example.com Aレコード www 1.1.1.1 ② www.example.comのサイトを見たい 公開鍵 電子署名 秘密鍵 電子署名 電子署名でレコードの正当性を保証
7. 公開鍵 / 秘密鍵 / 証明書 。。。。 このあたりはインフラをやり始めた時は良く分かっていませんでした。 このあたりも DNSSECで実用的な例を見ながら 再学習してみましょう！
8. DNSと DNSSECの 基礎 DNSSEC 仕組み Route53 運用 本日のお話の流れ
9. 電子署名 (RRSIG) ハッシュ関数 A = 1.1.1.1 www.example.com PC キャッシュ DNS 権威 DNS (ZSKの) 公開鍵 123456 秘密鍵 （ZSK） 電子署名 (RRSIG) A = 1.1.1.1 電子署名 (RRSIG) 123456 A = 1.1.1.1 123456 ＝ 一致 権威DNSサーバ ①レコードに電子証明 キャッシュDNSサーバ ②レコードの電子証明の検証 (ZSKの) 公開鍵 ①レコードに電子署名 ②レコードの電子署名の検証 ハッシュ関数 DNSSECの仕組み(レコード署名)
10. 電子署名 (RRSIG) ハッシュ関数 A = 1.1.1.1 www.example.com PC キャッシュ DNS 権威 DNS (ZSKの) 公開鍵 123456 秘密鍵 （ZSK） 電子署名 (RRSIG) A = 1.1.1.1 電子署名 (RRSIG) 123456 A = 1.1.1.1 123456 ＝ 一致 権威DNSサーバ ①レコードに電子証明 キャッシュDNSサーバ ②レコードの電子証明の検証 (ZSKの) 公開鍵 ①レコードに電子署名 ②レコードの電子署名の検証 ハッシュ関数 DNSSECの仕組み(レコード署名)
11. 秘密鍵 ZSK ZSK：ゾーンに署名する秘密鍵 KSK：公開鍵を署名する秘密鍵 DS：DNSKEYのハッシュ値 DS 秘密鍵 KSK (ZSKの) 公開鍵 (KSKの) 公開鍵 署名 ハッシュ関数 DS 権威DNSサーバ（example.com） 権威DNSサーバ（com） 親のDNSサーバにDSを登録する ことで公開鍵の正当性を保証する レコード 署名 DNSSECの仕組み(公開鍵の検証) この箇所の 正当性を保証
12. 秘密鍵 ZSK ZSK：ゾーンに署名する秘密鍵 KSK：公開鍵を署名する秘密鍵 DS：DNSKEYのハッシュ値 DS 秘密鍵 KSK (ZSKの) 公開鍵 (KSKの) 公開鍵 署名 ハッシュ関数 DS 権威DNSサーバ（example.com） 権威DNSサーバ（com） 親のDNSサーバにDSを登録する ことで公開鍵の正当性を保証する レコード 署名 DNSSECの仕組み(公開鍵の検証) この箇所の 正当性を保証 ①KSKの公開鍵は保証される ②KSKの秘密鍵は保証される ③ZSKの公開鍵は保証される
13. DNSと DNSSECの 基礎 DNSSEC 仕組み Route53 運用 本日のお話の流れ
14. Route53とは Amazon Route 53 DNSのフルマネージドサービスです。 1．ドメイン名の登録 2．ドメインのリソースへのルーティング 3．リソースの正常性チェック
15. Route53でのDNSSEC導入 ◆導入時 ① KMSを使用してKSK（キー署名キー）の作成 ② ゾーンのDNSSEC署名有効化 ③ 信頼チェーンを確立（親ゾーンへのDSレコード登録） ※事前にレジストラ側がDNSSECに対応しているかどうか確認する必要があります
16. 秘密鍵 ZSK DS 秘密鍵 KSK (ZSKの) 公開鍵 (KSKの) 公開鍵 署名 ハッシュ関数 権威DNSサーバ（example.com） レコード 署名 Route53でのDNSSEC運用 AWS ユーザー ◆運用時 ・ ZSKの鍵管理はAWS側でやってくれる ・ KSKの管理はユーザ側で必要 ※鍵のローテが必要な場合 ◆費用 ・ DNSSECを有効にすることでの費用追加はなし ・ KMSの利用料金が追加
17. ・ DNSとDNSSECの基礎 ・ DNSSECの仕組み（レコード署名検証・公開鍵検証） ・ 導入はレジストラ側がDNSSECに対応している必要があります ・ Route53を使用すると導入が楽 / 運用が自動 or 楽です！ まとめ
18. ご清聴頂きありがとうございます